Terraform结合GitHub Secrets与Actions运行Makefile up报错问题咨询

GitHub Actions的${{ secrets.xxx }}插值语法，仅会在工作流YAML文件的内容中被解析替换，不会对仓库中提交的任意其他文本文件（比如修改后的Makefile）做内容替换。
把插值语法直接写进Makefile后，Make本身会把${{ ... }}识别为自有变量引用语法：将大括号内的内容当作不存在的Make变量名读取，取值为空后，仅保留剩余的字面量}，最终就生成了日志里看到的-backend-config=resource_group_name=}这种畸形参数。Terraform收到这类带零散残留字符的参数后，会把多余内容识别为位置参数，触发"Too many command line arguments"报错。

• 还原Makefile中后端配置的定义逻辑，改回从系统环境变量读取参数值的形式，注意Makefile里引用环境变量需要用双$做转义，避免被Make自身的解析规则拦截：

  BACKEND_CONFIG =    -backend-config=resource_group_name=$${AZURE_TERRAFORM_RESOURCE_GROUP_NAME} \
                      -backend-config=storage_account_name=$${AZURE_TERRAFORM_STORAGE_ACCOUNT_NAME} \
                      -backend-config=container_name=$${AZURE_TERRAFORM_STORAGE_CONTAINER_NAME} \
                      -backend-config=key=$${AZURE_TERRAFORM_RESOURCE_GROUP_NAME}.tfstate \
  

• 修改GitHub Actions工作流中执行make up的步骤，通过env配置块将对应的GitHub Secrets值注入到步骤运行的环境变量中，让Makefile运行时可以直接读取到：

  - name: build application
    run: make up
    working-directory: ./infra_as_code
    env:
      AZURE_TERRAFORM_RESOURCE_GROUP_NAME: ${{ secrets.AZURE_TERRAFORM_RESOURCE_GROUP_NAME }}
      AZURE_TERRAFORM_STORAGE_ACCOUNT_NAME: ${{ secrets.AZURE_TERRAFORM_STORAGE_ACCOUNT_NAME }}
      AZURE_TERRAFORM_STORAGE_CONTAINER_NAME: ${{ secrets.AZURE_TERRAFORM_STORAGE_CONTAINER_NAME }}
  

• 不要尝试将GitHub Actions的插值语法硬编码到提交到仓库的非YAML文件中（包括Makefile、Shell脚本、Terraform配置文件），GitHub解析器仅处理工作流YAML本身的文本内容，不会修改仓库内其他文件的存储内容。
• 原配置中直接将资源组名称作为Terraform state文件的命名来源，后续可以单独新增一个GitHub Secrets存储独立的state文件名，避免后续资源组变更时导致状态文件路径错乱，该调整不影响本次报错的修复。

内容的提问来源于stack exchange，提问作者Pierre-Alexandre