1. 基本信息
| 项目 | 内容 |
|---|---|
| 名称 | terraform-skill |
| 作者/维护者 | Anton Babenko（个人开发者，terraform-aws-modules 系列模块维护者，该系列模块历史下载量已达数亿次） |
| 来源链接 | https://github.com/antonbabenko/terraform-skill |
| 许可证 | Apache-2.0（SKILL.md frontmatter 与仓库页面均直接确认） |
| GitHub Stars / Forks | 2,176 / 193（GitHub Search API 抓取确认，2026-07-13） |
| 最新版本 | v1.17.1（2026-06-03 发布） |
| 安装方式 | 一条命令：npx skills add https://github.com/antonbabenko/terraform-skill，Claude Code 用户也可用插件市场一步安装 |
2. 功能介绍与亮点
terraform-skill 是一个面向 Terraform / OpenTofu 基础设施代码的最佳实践技能，把作者数亿次下载模块经验沉淀成的诊断框架，教 Agent 按“捕获上下文 → 诊断 → 调用参考资料 → 提出修复方案 → 生成产物 → 验证”的固定工作流处理 IaC 任务，而不是凭训练数据直接臆造 HCL 代码。
主要亮点：
- 强制响应契约：要求每次回答都说明运行时/版本/后端假设、风险等级、修复方案及其取舍、验证计划与回滚步骤，避免“看起来对但跑不通”的答案。
- 13 种故障模式路由表：涵盖身份漂移、密钥泄露、变更爆炸半径等常见 Terraform 事故类型，分别映射到对应参考文档。
- 版本感知：内置功能特性版本门表（如
write_only需 1.11+、mock provider 需 1.7+），避免给出与实际 Terraform 版本不兼容的建议。 - 测试决策矩阵：按场景推荐静态分析、原生测试、Terratest 或 OPA，而非一刀切。
- 安全护栏内置：明确禁止
terraform destroy与-auto-approve，要求先审阅 plan 产物再执行。 - 维护活跃：近期版本发布节奏稳定（v1.17.1，2026-06-03），最近一次提交距今约 10 天。
3. 适用场景
所属固定分类：DevOps 与基础设施
- 使用 Terraform / OpenTofu 管理云基础设施（AWS/Azure/GCP）的团队，希望 Agent 生成的 IaC 代码遵循生产级最佳实践而非“能跑就行”。
- 需要在 CI/CD 流水线中加入 IaC 安全扫描（如 checkov、trivy）与自动化测试的 DevOps 工程师。
- 处理遗留 Terraform 状态迁移、模块重构、多环境（dev/staging/prod）配置的中高级用户。
- 希望减少“AI 幻觉式 Terraform 代码”风险、要求答案有版本依据和回滚方案的团队。
4. 跨 Agent 兼容性
| Agent | 结论 | 判断依据 |
|---|---|---|
| Claude Code | ✅ 原生支持 | 官方文档给出明确安装命令：/plugin marketplace add antonbabenko/agent-plugins → /plugin install terraform-skill@antonbabenko，另有通用 npx skills add 方式 |
| Codex | ❓ 未验证 | 材料中未见针对 Codex 的专门安装路径或测试记录 |
| OpenClaw | ⚠️ 需适配 | OpenClaw 的技能体系同样以 SKILL.md 为标准格式，理论上可手动放入其技能目录使用，但未见官方或社区对本 skill 的专项适配记录 |
| Hermes Agent | ⚠️ 需适配 | Hermes Agent 官方技能目录结构（~/.hermes/skills/）同样基于 SKILL.md，理论兼容，但未见专门验证 |
5. 推荐理由
这是一个由 Terraform 生态最具分量的独立开发者之一亲自打造并持续维护的技能，工程可信度罕见地高：作者不是泛泛的“AI 爱好者”，而是数亿次下载量的 terraform-aws-modules 维护者，把自己积累多年的“生产事故经验”直接写进了 SKILL.md 的故障路由表里。它解决的是一个真实且高风险的痛点——Agent 生成的 Terraform 代码“看起来对但一 apply 就炸”，通过强制版本假设说明、风险等级标注、回滚方案三件套,把 AI 输出从“能跑的代码”提升到“可审计、可回滚的生产级变更”。对于把 Claude Code 用在真实云基础设施管理上的团队，这是目前该细分领域里证据最扎实、作者背书最强的选择。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 8 | 2,176 stars 处于 1k–5k 区间，且 X/Twitter 官方发布、Threads 用户评价、Medium 技术文章三个独立渠道均有实际讨论 |
| 可用性 | 9 | npx skills add 一条命令跨平台安装，Claude Code 另有插件市场一步安装；SKILL.md 约 550–600 行，含决策矩阵与代码示例；10 天前仍有提交、无付费依赖 |
| 安全性 | 8 | 见下方检查清单 |
| 综合 | 8.33 | 三项均值 |
安全检查清单：
| 检查项 | 结果 |
|---|---|
| ① Shell 命令执行及权限范围 | 有——terraform fmt/validate/plan/test、trivy config、checkov 等只读检查与本地验证命令；明确禁止 terraform destroy 与 -auto-approve，范围清晰可审计 |
| ② 运行时联网外发数据 | 未发现外发指令；仅可选启用 HashiCorp Terraform Registry 相关 MCP 查询文档，目标透明 |
| ③ API key/凭据要求 | 不要求嵌入凭据，反而明确指导使用云端密钥管理服务（AWS Secrets Manager 等）、警告不要把密钥写入变量或 .tfvars |
| ④ SKILL.md/脚本中可疑指令 | 未发现——内容透明，无 prompt injection 或要求忽略先前指令的迹象 |
| ⑤ 作者/组织信誉 | 高——作者为 terraform-aws-modules 长期维护者，该系列模块历史下载量达数亿次，是 Terraform 社区公认的资深贡献者 |
| ⑥ License 是否明确 | 明确，Apache-2.0 |
| ⑦ 最近维护时间 | 最近提交约 10 天前，版本发布节奏稳定 |
扣分说明：技能会指导 Agent 实际执行 plan/测试类命令而非纯提示词，虽范围明确、有明确禁止项兜底，仍属实质性代码执行面，故未给满分。
7. 跟同类 Skills 相比的优势
| 维度 | terraform-skill（本次推荐） | 大型多技能合集中捆绑的通用 IaC 子技能 | 裸提示词直接问 Terraform 问题 |
|---|---|---|---|
| 知识来源 | 单一资深作者的实战经验沉淀，故障路由表来自真实生产事故模式 | 通常由合集维护者批量生成，深度与专精度不一 | 依赖模型训练数据，易出现过时语法或幻觉 API |
| 安全护栏 | 内置禁止 destroy/-auto-approve 等硬性防呆规则 | 视具体条目而定，参差不齐 | 无 |
| 版本感知 | 明确的功能特性版本门表，按 Terraform/OpenTofu 版本给建议 | 较少见 | 无，容易给出版本不兼容代码 |
| 维护独立性 | 单人专注维护，迭代聚焦 | 依附于大合集的整体维护节奏，单个子技能可能长期不更新 | 不适用 |
核心差异化：市面上不少 IaC 技能是被打包进“几十个技能”的大杂烩合集里的一个条目，深度和维护优先级都要让位于合集整体；terraform-skill 是专注单一领域、由该领域头部专家独立打磨的技能，护栏设计（强制风险说明、禁止破坏性操作）也明显更审慎。
8. 用户评价
- tpschmidt_（Threads，2026-01-29）：称这个技能“完全改变了我写基础设施代码的方式”，强调它不只是“另一个懂 Terraform 语法的 AI”，而是真正遵循“久经考验的工作流程和最佳实践”。
- Juan Diego Bonilla（Medium 技术文章）：评价该技能“固执”——即使用户要求抄近路它也会反对，形容这种摩擦“就像代码审查中资深架构师的意见，大多数 AI 会话正好缺少这一点”。
本次共验证到 2 条独立来源评价，均为亲自抓取确认内容。
9. 其他补充
作者本人在 X/Twitter 发布该技能时，建议搭配 HashiCorp 官方 Terraform MCP Server 一起使用，让 Agent 在遵循本技能工作流的同时能查阅真实、最新的 Provider 文档，而非仅依赖训练数据里的过时语法。
10. 安装使用方式
- 通用方式（跨多种支持 SKILL.md 的 Agent）：
npx skills add https://github.com/antonbabenko/terraform-skill - Claude Code 插件市场：
/plugin marketplace add antonbabenko/agent-plugins，再执行/plugin install terraform-skill@antonbabenko - 手动安装（适用于支持 SKILL.md 格式的其他 Agent）：
git clone本仓库后，将skills/terraform-skill目录放入对应 Agent 的技能目录 - 安装后无需重启宿主 Agent；触发方式为在涉及 Terraform/OpenTofu 编写、审查、调试、CI 配置或状态操作的对话中直接提问，Agent 会自动匹配该技能的
description字段并加载对应工作流。
11. 注意事项
- 会执行只读/验证类 shell 命令：包括
terraform plan、checkov、trivy等，使用前建议确认运行环境的执行权限范围与账号最小权限原则，尽管技能本身已明确禁止破坏性操作。 - Codex 兼容性本次未直接验证，OpenClaw 与 Hermes Agent 虽技术上支持 SKILL.md 格式，但未见专门适配记录，如需在这些平台使用建议先小范围测试。
- 技能风格偏“固执”：会主动反对不安全的快捷方式（如通配符 IAM、硬编码值），即使用户明确要求抄近路，这是有意的设计而非缺陷，但初次使用者可能需要适应这种“较真”的交互风格。
- 该技能聚焦最佳实践与工作流指导，不替代团队自身的 code review 与云账号权限治理，仍需人工审阅生成的 plan 后再执行 apply。