Terraform子模块变更在plan/apply中未被识别的问题排查

这种三层嵌套模块变更不被识别的情况我在实际工作中碰到过好多次，大概率是模块版本管理或者缓存的问题，给你拆解几个最常见的原因和对应的解决办法：

Terraform 对远程模块的引用如果指定了固定的 ref（比如 tag、commit hash），会严格按照这个标识拉取代码。哪怕你在远程仓库改了模块内容，只要 ref 没变化，terraform get 和 init 都会直接复用本地缓存的旧版本，根本不会去拉新内容。

举个例子，假设你的顶层模块引用是这样的：

module "core_module" {
  source = "git::https://your-module-repo.git//global/module-a?ref=v1.0.0"
}

而模块A里引用同仓库的模块B时，也固定了旧版本：

module "nested_module" {
  source = "../module-b?ref=v1.0.0"
}

这种情况下，哪怕你把模块B改得面目全非，只要两个地方的ref还是v1.0.0，Terraform 就会假装看不到变更。

解决办法：

• 把所有层级模块引用的ref更新到最新的 tag、commit hash；如果是测试场景，也可以临时改成分支名（比如ref=main），但生产环境强烈建议用固定版本。
• 执行 terraform get -update 强制更新本地模块缓存，再跑 terraform init 和 plan。

默认情况下，terraform get 只会下载本地没有的模块，不会主动更新已经缓存的模块。哪怕远程模块已经更新，只要本地有旧的缓存文件，它就不会去拉新的版本。

解决办法：

• 执行 terraform get -update，这个参数会让 Terraform 检查所有已下载模块的远程源，更新到你指定的最新版本。
• 如果还是不行，直接手动删除 .terraform/modules 目录下对应的模块文件夹，彻底清空旧缓存后再重新执行 terraform get 和 init。

如果模块A引用模块B时用的是相对路径（比如source = "../module-b"），当顶层项目拉取模块A时，Terraform 会从模块A所在版本的仓库里拉取对应的模块B代码——也就是说，如果你单独修改了模块B，但模块A的版本还是旧的（没包含B的变更），那顶层项目拉的模块A里的B还是旧版本，自然看不到你的修改。

解决办法：

• 先更新模块A中对模块B的引用（要么把相对路径改成带最新ref的远程路径，要么确保模块A的最新版本已经包含了B的变更）。
• 然后更新顶层项目对模块A的引用版本，再执行 terraform get -update 和后续命令。

有时候可能你修改的只是模块里的注释、变量描述这类非功能性内容，这种情况下 terraform plan 确实不会检测到变更。可以先对比一下修改前后的代码，确认变更涉及到了 Terraform 管理的资源属性（比如count、tags、资源参数等）。

解决办法：

• 如果是功能性修改，按上面的步骤排查版本和缓存；如果是非功能性修改，那 plan 没变化是正常的，不用纠结。

内容的提问来源于stack exchange，提问作者djt