Test cho Terraform code nên bắt đầu từ đâu?

Từ fmt + validate + plan tự động trong CI. Ba bước này rẻ, chạy vài giây, và bắt được phần lớn lỗi trước khi hạ tầng bị đụng tới.

Các tầng theo mức đầu tư tăng dần:

terraform fmt -check -recursive     # format
terraform validate                  # cu phap + kieu du lieu
tfsec . && checkov -d .             # scan cau hinh bao mat
terraform plan -out=tfplan          # doi chieu voi thuc te
terraform show -json tfplan | jq '.resource_changes[] | select(.change.actions[] == "delete")'

Dòng cuối là kiểm tra đáng có nhất mà nhiều team bỏ qua: chặn merge nếu plan có destroy trên resource stateful.

Tầng nặng hơn là dựng thật rồi xoá — terraform test (native, từ 1.6) hoặc Terratest. Với module dùng chung toàn công ty thì đáng, vì một bug trong module lan ra mọi team dùng nó.