Terraform使用templatefile配置S3桶策略时持续提示变更的问题

这个问题和你在AWS控制台看到的策略内容完全一致没有任何关系，核心是Terraform AWS Provider对policy字段的序列化类型匹配差异：

• 你当前配置直接把templatefile渲染出的原始字符串传给aws_s3_bucket_policy的policy参数，这个字符串带了你在模板里手动设置的缩进、换行、空格格式
• Provider第一次从AWS拉取实际生效的桶策略时，会自动把远端的json字符串解析为结构化对象，再用标准json序列化规则（无多余缩进、统一字段格式、自动清理无意义空值）重新生成一个规范字符串，存在Terraform状态文件里
• 后续每次跑plan时，Terraform只会逐字符对比“你当前传的字符串”和“状态里存的规范字符串”——哪怕两边的策略语义100%和控制台一致，只要序列化格式有差异，就会被判定为需要更新。你在plan输出里看到的+ policy = jsonencode(...)的提示，本质就是这个差异的体现。

这也是你之前尝试把Action、Resource改成数组、移除Version字段、删掉空Sid都没用的原因：这些操作只调整了策略的语义内容，完全没碰到两边字符串序列化不匹配的核心问题。

• 第一步：停止直接传模板渲染的原始字符串，先对模板输出做标准化序列化处理，把传给资源的policy值调整为和Provider存储格式一致的规范化json字符串，修改locals里的policy定义：

  # 原有写法（持续触发假diff）
  # policy = templatefile("${local.template_dir}/policy.tpl", local.template_vars)
  
  # 修改后（规范化序列化，消除格式差异）
  policy = jsonencode(jsondecode(templatefile("${local.template_dir}/policy.tpl", local.template_vars)))
  

  这个写法的逻辑很简单：先把模板渲染出的json字符串解析成结构化对象，再用Terraform内置的jsonencode做标准序列化，生成的格式和Provider从AWS拉回来、存在状态里的字符串完全一致，从根源消除逐字符比对的差异。
• 第二步：清理模板里无意义的空字段。你模板里写的空值"Sid" : ""本身没有实际作用，直接从模板里删掉这行，同时把旧的策略版本2008-10-17换成AWS当前通用的2012-10-17，减少不必要的格式差异触发点。
• 进阶优化：其实完全没必要在字符串模板里硬写json格式，把策略改成纯结构化对象拼接会更稳定。后续要追加自定义的策略语句，直接在HCL里做数组拼接，最后统一用jsonencode序列化即可，不需要依赖外部文件模板：

  locals {
    base_https_statement = {
      Sid       = "DenyInsecureTransport"
      Effect    = "Deny"
      Principal = "*"
      Action    = "s3:*"
      Resource  = "${aws_s3_bucket.bucket.arn}/*"
      Condition = {
        Bool = {
          "aws:SecureTransport" = "false"
        }
      }
    }
    # 拼接用户自定义的额外策略语句，全程结构化处理
    final_policy = {
      Version   = "2012-10-17"
      Statement = concat([local.base_https_statement], var.s3_bucket_policy)
    }
  }
  
  resource "aws_s3_bucket_policy" "bucket" {
    bucket = aws_s3_bucket.bucket.id
    policy = jsonencode(local.final_policy)
  }
  

这样处理完成后，连续跑两次terraform plan就不会再出现无意义的原地更新提示了。

内容的提问来源于stack exchange，提问作者jaekie