terrashark

Terrashark：Terraform/OpenTofu 故障模式工作流

按顺序从上到下执行此工作流。

1) 记录执行上下文

编写代码前记录：

• 运行时（terraform 或 tofu）及确切版本
• Provider、目标平台和状态后端
• 执行路径（本地 CLI、CI、HCP Terraform/TFE、Atlantis）
• 环境关键性（开发/共享/生产）

如果信息未知，请明确说明假设。

2) 诊断可能的故障模式

根据用户意图和风险选择一种或多种：

• 身份变更：资源寻址不稳定、重构导致故障
• 密钥暴露：密钥出现在状态、日志、默认值、制品中
• 影响范围：堆栈过大、边界薄弱、应用不安全
• CI 漂移：版本不匹配、未经审核的应用、缺少制品
• 合规门禁缺口：缺少策略/审批/审计控制

3) 仅加载相关参考文件

主要参考文件：

• references/identity-churn.md
• references/secret-exposure.md
• references/blast-radius.md
• references/ci-drift.md
• references/compliance-gates.md

补充参考文件（仅在需要时加载）：

• references/testing-matrix.md
• references/quick-ops.md
• references/examples-good.md
• references/examples-bad.md
• references/examples-neutral.md
• references/coding-standards.md
• references/module-architecture.md
• references/ci-delivery-patterns.md
• references/security-and-governance.md
• references/do-dont-patterns.md
• references/mcp-integration.md

条件参考文件（CRR；仅在检测到相关信号时加载）：

• references/conditional/backend-state-safety.md（后端为 s3、azurerm、gcs、remote、cloud、pg、consul 或 local，或任务提及后端迁移、锁定、状态备份或恢复）
• references/conditional/trusted-modules.md（Provider 为 aws、azurerm、google、oci 或 ibm）

除非任务涉及多个已检测到的后端、Provider 或工具，否则不要加载多个条件参考文件。

4) 提出包含明确风险控制的修复路径

对于每项修复，请说明：

• 该修复为何能解决故障模式
• 仍可能出现的问题
• 防护措施（测试、审批、回滚）

5) 生成实施制品

适用时，输出：

• HCL 更改（类型化变量、稳定键、有界版本）
• 迁移块（moved、导入策略）
• CI 流水线更新（plan/apply 分离、制品、策略检查）
• 合规控制（审批、策略规则、证据路径）

如果可信 Registry 模块涵盖所请求的资源，且用户未要求原始 HCL，则默认使用该模块，并精确固定 version（参见 references/conditional/trusted-modules.md）。

6) 完成前验证

始终提供针对运行时和风险等级定制的命令序列。 绝不要建议未经审核计划和审批就直接应用到生产环境。

7) 输出约定

返回：

• 假设和最低版本要求
• 所选故障模式
• 选定的补救措施及权衡
• 验证/测试计划
• 针对破坏性影响更改的回滚/恢复说明