Go不直接提供IaC能力，而是作为Terraform的安全调度器和胶水层；必须用terraform-exec库安全调用，显式指定二进制路径、设置context超时、独立远程backend管理状态，并与微服务发布节奏解耦。
Go 微服务本身不运行 Terraform，也不能直接“配置”它作为 IaC 供给工具——Terraform 是独立 CLI 工具，Go 只能安全调用、封装或协同它。关键在于：别让 Go 去替代 Terraform，而是让它成为 Terraform 的可靠调度器和胶水层。
用 terraform-exec 安全调用而非 exec.Command
硬编码 exec.Command("terraform", "apply") 是生产环境高危操作：路径不可控、版本混乱、stderr 丢失、context 中断后锁残留。必须用官方维护的 github.com/hashicorp/terraform-exec。
-
TerraformExecutor初始化时必须显式传入TerraformBinary路径，不能依赖$PATH；建议用go:embed打包已验证版本的terraform二进制 -
Apply()返回的*ApplyResult包含ExitCode和Stderr，不能只判断error != nil——Terraform 失败时error可能为nil，但ExitCode != 0 - 务必用
context.WithTimeout(ctx, 10*time.Minute)控制执行时间，避免云 API 卡住导致整个微服务 goroutine 阻塞数小时
状态管理必须解耦，禁止共享 terraform.tfstate
微服务部署本质是多环境、多租户、多应用的并发场景，直接共用本地 terraform.tfstate 会引发状态覆盖、锁冲突、漂移不可追溯等问题。
- 每个微服务实例（或每个环境）应使用独立远程 backend，例如 S3 + DynamoDB 锁表，backend 配置通过
tfvars动态注入，而非硬编码在模块中 - 不要在 Go 代码里读写
.tfstate文件——它不是 Go 的数据结构，解析 JSON 易出错且破坏 Terraform 状态一致性语义 - 若需获取资源输出（如 RDS endpoint），应在
Apply()后调用Output(ctx, "db_endpoint")，而不是手动解析 state 文件
模块化与参数传递：用 terragrunt.hcl 隔离环境，Go 只传变量
Go 不该生成 HCL 或拼接模块路径，那是 Terragrunt 的职责。Go 的角色是提供输入变量（inputs），触发 Terragrunt 封装的 Terraform 执行流。
立即学习“go语言免费学习笔记（深入）”；
- 每个微服务对应一个
terragrunt.hcl目录，内含include公共模块、generateprovider 配置、inputs来自 Go runtime 的动态值（如service_name,replicas） - Go 调用
terragrunt apply --terragrunt-non-interactive时，用--terragrunt-override注入变量，例如：--terragrunt-override service_version=v1.2.3 - 避免在 Go 中用
text/template渲染.tf文件——HCL 不是模板语言，语法错误难调试，且绕过terraform validate校验
Pulumi Go SDK 不等于“纯 Go IaC”，慎选技术栈
如果团队真想用 Go 写基础设施逻辑，Pulumi 是更接近编程范式的选项，但它不是零依赖的“纯 Go”方案。
-
pulumi.Run()必须在main()中调用，所有资源定义必须包裹在闭包内；pulumi.StringOutput是 lazy future，不能直接fmt.Println，需用.ToStringOutput().ApplyT(...)提取 - Provider 配置（如 AWS region）不会自动读取
~/.aws/config，必须显式传pulumi.String("us-west-2") - 本地调试必须用
pulumi preview --diff，而非直接up；默认 state 存云端，私有化部署需设PULUMI_BACKEND_URL=file://./state，且注意文件锁问题
最易被忽略的一点：IaC 的变更节奏和微服务发布节奏天然不同步。Terraform 模块更新可能影响多个服务，而 Go 微服务升级不该触发基础设施重刷。必须把 infra 变更和 service 发布拆成两个 pipeline 阶段，用明确的 version pinning（如 Terraform module version、provider version）锁定耦合点。
