对比决策指南
Terraform 与 OpenTofu 对比
根据项目现有 State、Provider、治理和许可要求选择，不要随意切换引擎。
工具选择只读TerraformOpenTofu
先看决策矩阵
基于官方文档这张表汇总当前注册表和官方来源，不代表两侧已经在同一环境中完成端到端对跑。真正选择前，请用同一个安全样例验证。
| 决策条件 | Terraform | OpenTofu |
|---|---|---|
| 输出合同 | 结构化格式：json, binary plan, text；标志：show -json, output -json。 | 结构化格式：json, binary plan, text；标志：show -json, output -json。 |
| 认证与身份 | 需要认证：provider credentials, Terraform Cloud token, workload identity。validate 和 plan 使用只读 Provider 凭据，并按环境隔离 apply 凭据。 | 需要认证：provider credentials, backend credentials, workload identity。规划使用只读 Provider 凭据，apply 使用环境专用凭据。 |
| 可靠性证据 | 证据状态为 docs-verified，文档检查于 2026-07-10；尚未记录独立执行版本。 | 证据状态为 docs-verified，文档检查于 2026-07-10；尚未记录独立执行版本。 |
| 更适合 | 格式化、校验、规划和应用基础设施，并明确区分 plan 与 apply 风险。 | 规划和管理开源基础设施状态，并对远程变更进行明确确认。 |
当前建议
默认保持现有引擎；迁移必须用配置和 State 副本测试。
目标、输入与输出
在 Agent 选择命令前，先明确要交付的结果和证据。
Terraform 与 OpenTofu 对比：安全执行步骤
每一步都要在已声明的边界内执行，验证输出后再继续。
审批点与回滚
在列出的决策点停下，并让恢复方法始终紧跟操作。
选 CLI、MCP 还是 API？
根据执行位置、身份、输出合同与权限边界选接口。
建议方案
默认保持现有引擎；迁移必须用配置和 State 副本测试。
官方证据与参考
执行前使用这些官方或上游来源确认当前命令行为。