Terraform管理腾讯云应避免本地执行，须锁定provider版本、补全import后的缺失配置，并单独处理标签和安全组规则等关联资源。
Terraform 是用来把云资源变成可版本控制、可重复执行的代码的工具 —— 它不帮你写业务逻辑，但能确保每次创建的 VPC、ECS、COS 桶，都和你代码里写的完全一致。
为什么不能直接在本地跑 Terraform 管理腾讯云？
腾讯云官方明确建议：避免在本地机器上直接用 Terraform 操作生产资源。原因很实际：
• 本地环境缺少统一凭证管理，~/.tencentcloud/credentials 或环境变量容易泄漏或误配
• 本地网络可能被限制调用腾讯云 OpenAPI（尤其企业防火墙或代理场景）
• terraform state 文件若存本地，协作时易冲突、丢失，且无法审计操作来源
• 腾讯云服务器（CVM）内执行，天然具备内网调用 API 的低延迟和高可靠性，也方便配合 CI/CD 流水线
provider 配置必须锁定版本，否则早晚出事
很多人写完 provider "tencentcloud" {} 就跑 terraform init，结果某天突然报错：Provider tencentcloud v1.80.0 doesn't support resource "tencentcloud_vpc"——这是因为新版本 provider 可能删了旧资源、改了参数名，或要求强制升级依赖。
• 正确做法是在 version.tf 中硬编码版本：
terraform {
required_providers {
tencentcloud = {
source = "tencentcloudstack/tencentcloud"
version = "1.72.5"
}
}
}• 同时开启插件缓存（
export TF_PLUGIN_CACHE_DIR=~/.terraform.d/plugin-cache），避免每次 init 都重下几百 MB
import 已有资源后，tf 文件里还缺一大半配置
用 terraform import tencentcloud_vpc.example vpc-xxxxx 导入成功，只是把资源“认领”进 terraform.tfstate，但 main.tf 里仍只有空壳：resource "tencentcloud_vpc" "example" {}。
• 这会导致下次 terraform plan 显示一堆“要删掉 CIDR、要重设 DNS、要关掉 DHCP”——因为 Terraform 认为你没声明这些字段，就默认它们是空值
• 必须手动补全所有关键字段：比如 vpc_name、cidr_block、enable_dns、dns_servers 等
• 最快方式是先 terraform show -json | jq '.values.root_module.resources[] | select(.address == "tencentcloud_vpc.example")' 提取真实值，再粘贴回 .tf 文件
最容易被忽略的一点：Terraform 不会自动同步资源的「标签（tags）」和「安全组规则（security_group_rule）」这类关联配置，它们往往藏在独立 resource 块里，导入后得单独处理，否则下次 apply 就会静默清空。
