如何将Terraform代码块作为模块输入，动态创建AWS WAF v2规则

你遇到的报错是因为Terraform的HCL配置是预静态解析的，file() 函数返回的是纯字符串内容，Terraform不会把字符串自动识别为合法的HCL块语法，因此会提示缺少参数或块定义。

以下两种方案都可以兼容你使用的Terraform 1.0.4和AWS Provider 3.54.0版本：

方案1：结构化变量 + 动态块实现规则复用 #

这是最符合Terraform原生语法的实现方式，你可以先定义结构化的规则变量，再通过动态块批量生成WAF规则：
首先定义规则变量（也可以从外部YAML/JSON文件读取）：

# 直接定义变量示例
variable "waf_rules" {
  type = list(object({
    header_name = string
    transform_type = string
  }))
  default = [
    {
      header_name = "cookie"
      transform_type = "URL_DECODE"
    },
    {
      header_name = "authorization"
      transform_type = "HTML_ENTITY_DECODE"
    }
  ]
}

# 从外部YAML文件读取规则示例
locals {
  waf_rules = yamldecode(file("${path.module}/rules.yaml"))
}

外部rules.yaml文件内容参考：

- header_name: cookie
  transform_type: URL_DECODE
- header_name: authorization
  transform_type: HTML_ENTITY_DECODE

在WAF配置中使用动态块生成规则：

or_statement {
  dynamic "statement" {
    for_each = local.waf_rules # 用变量的话改成var.waf_rules
    content {
      sqli_match_statement {
        field_to_match {
          single_header {
            name = statement.value.header_name
          }
        }
        text_transformation {
          type     = statement.value.transform_type
          priority = 0
        }
      }
    }
  }
}

方案2：直接使用WAF JSON规则定义 #

AWS WAF v2原生支持JSON格式的规则定义，你可以把完整的规则写在JSON文件中，直接赋值给WAF资源的rules参数：
示例waf_rules.json文件内容：

[
  {
    "name": "SQLi-Rule",
    "priority": 1,
    "action": { "block": {} },
    "statement": {
      "orStatement": {
        "statements": [
          {
            "sqliMatchStatement": {
              "fieldToMatch": { "singleHeader": { "name": "cookie" } },
              "textTransformations": [ { "type": "URL_DECODE", "priority": 0 } ]
            }
          },
          {
            "sqliMatchStatement": {
              "fieldToMatch": { "singleHeader": { "name": "authorization" } },
              "textTransformations": [ { "type": "HTML_ENTITY_DECODE", "priority": 0 } ]
            }
          }
        ]
      }
    },
    "visibilityConfig": {
      "sampledRequestsEnabled": true,
      "cloudWatchMetricsEnabled": true,
      "metricName": "SQLi-Rule"
    }
  }
]

在Web ACL资源中直接引用即可：

resource "aws_wafv2_web_acl" "example" {
  name  = "example-waf"
  scope = "REGIONAL"

  rules = jsondecode(file("${path.module}/waf_rules.json"))

  default_action {
    allow {}
  }

  visibility_config {
    cloudwatch_metrics_enabled = false
    metric_name                = "example-waf"
    sampled_requests_enabled   = false
  }
}

这种方式更适合复杂规则的外部管理，不需要处理HCL嵌套块的逻辑。

内容的提问来源于stack exchange，提问作者sudheerchamarthi