注册 Terraform Provider 插件需调用 plugin.Serve() 启动 gRPC 服务并传入 terraform.ProviderServer 实例；Provider() 必须返回非 nil 的 schema.Provider 实现；ConfigureFunc 应返回 diag.Diagnostics 而非 panic；Resource CRUD 中 ResourceData 非线程安全，须避免 goroutine 并发修改；import 需实现 Importer.State 方法返回 [][]*schema.ResourceData；敏感字段须同时设 Sensitive: true 和 Confidential: true 才能防止写入 state。
怎么注册一个 Terraform Provider 的根资源
Provider 插件的入口不是随便写个 main() 就能被 Terraform 识别的，必须通过 plugin.Serve() 启动 gRPC 服务，并且传入正确构造的 terraform.ProviderServer 实例。否则 terraform init 会报 Failed to instantiate provider 或直接卡住。
实操要点：
- 用
github.com/hashicorp/terraform-plugin-sdk/v2/plugin的Serve()，不是plugin.Serve（v1 已废弃） -
Provider()函数必须返回实现了schema.Provider接口的结构体，不能是 nil 或未初始化指针 - Provider 的
ConfigureFunc里别直接 panic，应返回diag.Diagnostics；否则 terraform plan 会崩溃退出，日志只显示Plugin process exited - 本地调试时，用
Terraform_PLUGIN_LOG=DEBUG+TF_LOG_PROVIDER=DEBUG查看 gRPC handshake 是否成功
Resource CRUD 方法里怎么安全读写 state
所有 Create/Read/Update/Delete 方法接收的 *schema.ResourceData 和 schema.ResourceData.Set 不是线程安全的，也不能在 goroutine 里直接用——Terraform SDK 会复用同一个 ResourceData 实例，多协程并发改它会导致 panic 或 state 错乱。
常见错误现象：运行 terraform apply -parallelism=5 时随机报 panic: reflect: call of reflect.Value.Interface on zero Value，或某个字段在 state 里突然消失。
立即学习“go语言免费学习笔记（深入）”；
实操建议：
- 用
d.Get("field").(string)前先检查d.HasChange("field")或d.IsNewResource()，避免对空值强转 - 写入 state 必须用
d.Set("field", value)，不能手动改d.State().Attributes—— 后者绕过校验，下次Read会丢失数据 - 调外部 API 失败时，不要 return nil error，要 return
diag.FromErr(err)，否则 Terraform 认为操作成功，但 state 没更新
怎么让自定义 Resource 支持 import
没实现 Importer 字段的 Resource，terraform import 会直接报错 The resource does not support importing，连试都不让你试。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
关键点在于：Importer 不是函数，而是一个带 State 方法的结构体，它的作用是把用户输入的 ID（比如 my-bucket-123）解析成 map，再塞进 state 里供后续 Read 使用。
实操注意：
-
Importer的State方法必须返回[][]*schema.ResourceData，即使只有一个实例也要包两层切片：[][]*schema.ResourceData{{d}} - ID 格式要和实际 API 要求一致，比如 AWS S3 bucket 的 import ID 是 bucket name，但你的 API 可能需要
region/name，那就得在State里拆开赋值给对应字段 - 别在
State里调 API——import 阶段不保证网络可达，也不该有副作用；它只是“告诉 Terraform 这个 ID 对应哪些字段”
v2 SDK 里怎么处理敏感字段和默认值
字段标了 Sensitive: true，但 terraform plan 输出还是明文，或者 apply 后 state 文件里依然存了密码明文——这不是 bug，是配置漏了 DiffSuppressFunc 或没关掉 StateConf 的自动序列化。
根本原因：SDK v2 默认把所有字段原样写进 state，Sensitive 只影响 plan 输出和日志脱敏，不阻止 state 持久化。
实操办法：
- 密码类字段必须同时设
Sensitive: true和Confidential: true（后者才禁止写入 state） - 想设默认值，别用
Default: "xxx"，要用DefaultFunc: schema.EnvDefaultFunc("XXX_API_KEY", nil)，否则plan会误判“从无到有”的变更 - 如果字段依赖其他字段计算（比如
region影响endpoint），用DiffSuppressFunc比写CustomizeDiff更轻量，后者容易触发不必要的 destroy/create
最常被忽略的是 Confidential 和 Sensitive 的区别：前者管 state 存不存，后者管终端打不打印。两个都设错，敏感信息就真进了 tfstate 文件，删都删不干净。
