变量、输出与 tfvars

这一课你将能做到

1. 用 variable 块声明带类型、默认值、校验规则的输入变量，并区分四种赋值方式的优先级
2. 用 output 块输出 IP、地址等结果，理解敏感输出的处理
3. 用 dev/prod 两套 tfvars 文件让同一份配置跑出不同环境

为什么要学

没有变量，你的 Terraform 配置只能服务一个环境：实例类型写死、环境名写死、密码写死。真实项目至少有开发、测试、生产三套，它们结构相同、参数不同。变量 + tfvars 就是 Terraform 的「参数化」机制，和 Java 方法入参是一个道理；输出则是把创建结果「return」出来，给人和其他系统看。CI 流水线里换环境，本质就是换一个 tfvars 文件。

人话：配置是菜谱，变量是「微辣还是特辣、加不加香菜」的勾选单，tfvars 就是事先填好的两种套餐；output 是菜做好后服务员告诉你的取餐号。

先建立图像

变量赋值的四种方式（优先级从低到高）：

1. variable 块里的 default（最低）
2. terraform.tfvars / *.auto.tfvars 文件
3. -var-file 指定的文件、-var 单独传入
4. 环境变量 TF_VAR_xxx（与 -var 同级，按具体规则覆盖）

核心心智模型：

概念	Java 类比	作用
variable	方法参数	调用方传值进来
locals	方法内局部变量	配置内部计算复用
output	return 值	把结果暴露出去

跟着做

步骤 1：声明带类型和默认值的变量

新建 vars-demo/variables.tf：

variable "project" {
  description = "项目名，用于资源命名和标签"
  type        = string
  default     = "springboot-demo"
}

variable "instance_type" {
  description = "EC2 实例规格"
  type        = string
  default     = "t3.micro"
}

variable "env" {
  description = "环境标识：dev/staging/prod"
  type        = string
}

variable "allowed_ports" {
  description = "安全组放行的端口列表"
  type        = list(number)
  default     = [22, 8080]
}

没有 default 的变量（env）必须在 plan/apply 时提供，否则 Terraform 会交互式询问。

步骤 2：加校验规则

variable "env" {
  description = "环境标识"
  type        = string

  validation {
    condition     = contains(["dev", "staging", "prod"], var.env)
    error_message = "env 只能是 dev、staging、prod 之一。"
  }
}

validation 在加载阶段执行，传入 test 会直接拒绝，连 plan 都进不去。这比把错误拖到云 API 报回来说清楚得多。

步骤 3：在配置中使用

main.tf：

terraform {
  required_version = ">= 1.7.0"
}

resource "null_resource" "app" {
  triggers = {
    project      = var.project
    instance     = var.instance_type
    env          = var.env
    port_count   = length(var.allowed_ports)
    first_port   = var.allowed_ports[0]
  }
}