Ansible变量管理的核心是分层设计、明确优先级与合理命名：全局默认值在roles/*/defaults/main.yml，环境共性配置在group_vars/all.yml，环境特有配置在group_vars/{env}.yml，主机级微调用host_vars/；-e参数提供最高优先级覆盖；命名统一用小写下划线前缀；敏感数据须用Ansible Vault加密。
Ansible 变量管理的核心目标，是让同一份 Playbook 能在开发、测试、生产等不同环境中安全、可靠地运行。关键不在于堆砌变量来源，而在于分层设计 + 明确优先级 + 合理命名。
按环境分层定义变量
把变量按作用范围和稳定性分层，避免混用或随意覆盖：
-
全局默认值：放在
roles/<role>/defaults/main.yml，比如app_port: 8080、log_level: info。这类值只提供兜底，预期会被覆盖。 -
环境共性配置：用
group_vars/all.yml定义所有环境都适用的项，如timezone: "Asia/Shanghai"、backup_dir: "/data/backup"。 -
环境特有配置：为每个环境建独立组（如
[prod]、[staging]），并在group_vars/prod.yml中写db_host: "db-prod.internal"、deploy_mode: "rolling"。 -
主机级微调：仅当某台机器需特殊处理时，才用
host_vars/web01.yml，例如disk_size: "2TB"或skip_backup: true。
用命令行变量临时切换环境
CI/CD 流水线或手动调试时，最常用也最灵活的方式是 -e 参数。它拥有最高优先级，能穿透所有静态定义：
- 单变量：
ansible-playbook deploy.yml -e "env=prod" - 多变量：
ansible-playbook deploy.yml -e "env=staging app_version=2.5.0" - 从文件加载：
ansible-playbook deploy.yml -e "@env/staging.yml"（文件内容为标准 YAML） - 结合模板使用：在
templates/app.conf.j2中写environment = {{ env | default('dev') }}，确保即使未传参也不报错。
变量命名与结构保持清晰
混乱的命名会让团队协作和后期维护变得困难。建议统一前缀 + 小写 + 下划线：
- 应用相关：
app_name、app_version、app_health_check_path - 数据库：
db_host、db_port、db_ssl_enabled - 基础设施：
aws_region、vpc_cidr、node_type - 布尔值统一用
true/false（YAML 原生支持），避免"yes"、"on"等歧义字符串。
配合 template 模块生成动态配置
变量本身只是数据，真正体现灵活性的是把它注入到配置文件中。Jinja2 模板是实现这一点的标准方式：
- 模板路径通常为
templates/nginx.conf.j2，Playbook 中调用：- template:<br> src: templates/nginx.conf.j2<br> dest: /etc/nginx/nginx.conf
- 模板内可做简单逻辑：
listen {{ app_port }};<br>{% if ssl_enabled | bool %}<br> ssl on;<br>{% endif %} - 敏感值（如密码）不要硬编码在变量文件里，应通过 Ansible Vault 加密后引用：
ansible-vault encrypt_string 'mysecret' --name 'db_password'，再放入变量文件。
