Terraform plan 假变更看花眼？这个 Skill 帮你过滤 Azure Set 类型噪音

Terraform 计划看花眼？这款 Skill 帮你过滤 Azure 假变更

有没有过这种崩溃时刻——你只改了一个 NSG 规则，Terraform plan 却告诉你「20 条规则全改了」。明明代码没动，为什么会这样？

不是你的错，是 Terraform Set 类型的比较机制在作妖。

Terraform 的 Set 类型按顺序比较元素，不按 key 比。所以当你往一个 NSG 安全规则列表里新增或删除一条时，Set 会认为「所有元素位置都变了」——于是 plan 输出里显示 20 条全改，实际上只有 1 条真正变了。

这种「假阳性 diff」在 Azure 基础设施场景里极其普遍。Application Gateway、Load Balancer、Azure Firewall、Front Door……这些服务大量依赖 Set 类型属性，每次改一条规则，plan 就像经历了一场地震。

review 计划的人痛苦，CI/CD 自动化也容易误判。今天推荐一个刚发现的开源 Skill——terraform-azurerm-set-diff-analyzer，专门解决这个痛点。

它能做什么？

这个 Skill 会分析你的 Terraform plan JSON 输出，自动区分：

• ✅ 真正的资源变更（需要关注）
• ❌ Set 类型顺序导致的假阳性（可以忽略）

支持的 Azure 资源类型包括 Application Gateway、Load Balancer、NAT Gateway、Firewall、Front Door、NSG 等——基本上 Azure 上用 Terraform 的日常场景全覆盖了。

怎么用？

三步搞定：

# 1. 生成 plan JSON
terraform plan -out=plan.tfplan
terraform show -json plan.tfplan > plan.json

# 2. 用 Skill 分析
python scripts/analyze_plan.py plan.json

# 3. 读清理后的真实变更

Python 脚本只依赖标准库，Python 3.8+ 就能跑，不需要装额外依赖。

效果怎么样？

来看一个真实场景对比：

没加 Skill 前——terraform plan 输出 47 行变更，全是 Set 类型假阳性，根本分不清哪些是真改。

加了 Skill 后——分析脚本只输出 2 条真实变更，其余全是噪音过滤掉了。

这对于代码 review 和 CI/CD 流程意义重大。你可以让 pipeline 只在真正变更时触发部署，而不是每次都被假阳性 diff 刷屏。

适合谁用？

• ☁️ 用 Terraform 管 Azure 基础设施的 DevOps / SRE
• 🔍 需要频繁 review terraform plan 的开发者
• 🤖 在 CI/CD 里自动化检查 Terraform 变更的团队

写在最后

Skill 来自 GitHub 官方的 awesome-copilot 项目，质量有保证。安装方式是直接 clone awesome-copilot 仓库，把对应 Skill 目录放到你的项目或全局 Skills 目录里就能用。

这个 Skill 属于典型的「小而美」工具——解决一个问题，解決得很彻底。如果你日常和 Terraform + Azure 打交道，装上它能省不少眉毛胡子一把抓的 review 时间。

GitHub 仓库链接

GitHub: https://github.com/github/awesome-copilot/tree/main/skills/terraform-azurerm-set-diff-analyzer