Ansible任务幂等性取决于正确选用声明式模块、明确state参数、避免命令类操作及副作用。优先用apt、file等内置检查逻辑的模块，慎用command/shell，必要时通过changed_when精准控制变更判定。

Ansible 任务天然支持幂等性，关键在于选用正确的模块、避免使用命令类操作，并理解“状态变更”的语义。

优先使用声明式模块而非 command/shell

Ansible 的核心设计哲学是“声明你想要的状态”，而不是“执行某条命令”。像 file、copy、apt、yum、systemd、user 这类模块都内置幂等逻辑：它们会先检查目标是否已满足预期，仅在必要时才执行变更。

• ✅ 推荐：apt: name=nginx state=present —— 若 nginx 已安装，不重复安装；若已启用服务，systemd: name=nginx state=started enabled=yes 不会重启或重载，除非配置或状态实际改变
• ❌ 避免：command: apt install nginx -y —— 每次运行都会执行，即使 nginx 已存在；无法判断是否真正需要安装

明确指定 state 参数并理解其含义

很多模块通过 state 控制资源终态。省略 state 或设为默认值（如 state=present）虽常见，但需确认它是否符合你的幂等意图。

• file: path=/tmp/test state=directory mode="0755"：仅当目录不存在或权限不符时创建/修正
• lineinfile: path=/etc/hosts line="127.0.0.1 example.com"：只在行不存在时追加；若行已存在，不做任何事
• copy: src=conf.j2 dest=/etc/myapp.conf backup=yes：模板渲染后与目标文件逐字节比对，仅内容变化时覆盖并备份

谨慎处理“无状态”操作和副作用

某些场景下，看似简单的操作可能破坏幂等性，比如生成随机密码、调用外部 API、或依赖时间戳。

• 避免 shell: date +%s > /tmp/timestamp —— 每次运行都写新时间，始终触发变更
• 改用 set_fact + 条件注册，或用 stat 检查文件是否存在再决定是否生成
• 调用 API 时，先用 uri 模块 GET 查询资源状态，再根据响应决定是否 POST/PUT

利用 changed_when 和 failed_when 精确控制结果判定

当必须使用 command 或 shell（例如调用自定义脚本），可通过 changed_when 明确告诉 Ansible “什么才算发生了变更”，避免误判。

• command: /usr/local/bin/deploy.sh
changed_when: '"deployed" in stdout' —— 只有脚本输出含 "deployed" 才标记为 changed
• shell: systemctl is-active --quiet myservice
ignore_errors: true
changed_when: false —— 仅做状态检查，不引发变更标记

幂等不是魔法，而是对模块行为的理解和对任务意图的清晰表达。写完任务后，多跑两遍 play，观察 changed 计数是否稳定为 0，是最直接的验证方式。