基础设施计划审查器

脱敏本地 IaC 审查

使用实用风险策略审查已脱敏 Terraform Plan JSON 和 Kubernetes 变更。

不会执行任何基础设施命令

Plan 和 Manifest 仅在本地解析、脱敏与比较；页面不联系 State Backend、集群或云账户。

Terraform Plan JSON

运行 terraform show -json tfplan 后打开或粘贴 JSON；不要粘贴二进制 Plan。

{
  "format_version": "1.2",
  "terraform_version": "1.12.0",
  "resource_changes": [
    {
      "address": "aws_security_group.web",
      "mode": "managed",
      "type": "aws_security_group",
      "name": "web",
      "provider_name": "registry.terraform.io/hashicorp/aws",
      "change": {
        "actions": [
          "update"
        ],
        "before": {
          "ingress": [
            {
              "cidr_blocks": [
                "10.0.0.0/8"
              ],
              "from_port": 443
            }
          ]
        },
        "after": {
          "ingress": [
            {
              "cidr_blocks": [
                "0.0.0.0/0"
              ],
              "from_port": 443
            }
          ]
        },
        "before_sensitive": {},
        "after_sensitive": {},
        "after_unknown": {}
      }
    },
    {
      "address": "aws_db_instance.primary",
      "mode": "managed",
      "type": "aws_db_instance",
      "name": "primary",
      "provider_name": "registry.terraform.io/hashicorp/aws",
      "change": {
        "actions": [
          "delete",
          "create"
        ],
        "before": {
          "identifier": "primary",
          "encrypted": true,
          "password": "old-secret"
        },
        "after": {
          "identifier": "primary-v2",
          "encrypted": false,
          "password": "new-secret"
        },
        "before_sensitive": {
          "password": true
        },
        "after_sensitive": {
          "password": true
        },
        "after_unknown": {
          "endpoint": true
        },
        "replace_paths": [
          [
            "identifier"
          ]
        ]
      },
      "action_reason": "replace_because_cannot_update"
    },
    {
      "address": "aws_s3_bucket.logs",
      "mode": "managed",
      "type": "aws_s3_bucket",
      "name": "logs",
      "provider_name": "registry.terraform.io/hashicorp/aws",
      "change": {
        "actions": [
          "create"
        ],
        "before": null,
        "after": {
          "bucket": "example-logs",
          "public": false
        },
        "before_sensitive": {},
        "after_sensitive": {},
        "after_unknown": {
          "arn": true
        }
      }
    }
  ],
  "resource_drift": [
    {
      "address": "aws_instance.worker",
      "type": "aws_instance",
      "provider_name": "registry.terraform.io/hashicorp/aws",
      "change": {
        "actions": [
          "update"
        ],
        "before": {
          "instance_type": "t3.small"
        },
        "after": {
          "instance_type": "t3.medium"
        },
        "before_sensitive": {},
        "after_sensitive": {},
        "after_unknown": {}
      }
    }
  ],
  "relevant_attributes": []
}

使用方法

01
载入变更证据
打开 terraform show JSON，或比较基线与当前 Kubernetes YAML。
02
检查影响范围
筛选资源，复核脱敏属性、漂移、关系边和高风险证据。
03
应用审查策略
配置本地 Guardrail，再导出脱敏的人类或 CI 报告。

常见问题

能打开二进制 tfplan 文件吗？

不能。请先用 terraform show -json 转换；工具不会执行二进制 Plan。

敏感 Plan 值会被保护吗？

显示和导出前会应用 Terraform 敏感掩码与常见密钥字段脱敏，但 Plan 文件本身仍应安全保管。

会应用基础设施吗？

不会。工具不运行 Terraform、kubectl 或云 API。

风险发现是权威策略吗？

不是。它们是透明的本地审查启发式规则，不能替代 OPA、Sentinel、Provider Schema 或组织审批。

继续使用其他专注的浏览器端工具。

全部工具

使用方法

载入变更证据

检查影响范围

应用审查策略

常见问题

相关工具

Terraform 与 OpenTofu 验证器

Kubernetes 清单验证器

Git 仓库与补丁审查器