做 Splunk App 开发和 SDK 集成的开发者考这个，纯做搜索分析的用户不需要。
这张认证到底考什么
先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。
SPLK-2001 Splunk Certified Developer 是面向 Splunk 平台开发工程师的专业认证，65 题 / 75 分钟。前置要求：Splunk Core Certified Power User（SPLK-1002）。
考试覆盖 Splunk App 架构（目录结构、metadata/local/default 优先级、权限模型）、Dashboard 开发（Simple XML + Dashboard Studio）、REST API 操作（创建/搜索/管理索引和 Saved Search）、自定义搜索命令（用 Python SDK 写 Streaming/Reporting 命令）、Add-on 开发（modular inputs、CIM 映射）。
和分析方向的 SPLK-1004 完全不同，Developer 考的是"扩展 Splunk 平台的能力"而不是"用 Splunk 做分析"。约 20% 的题是 Python 代码阅读题。
你会反复碰到的核心服务
学完以后你能带走什么
- 自信通过 Splunk Certified Developer SPLK-2001 认证
- 掌握 Splunk REST API 的完整使用方法和认证机制
- 能够独立开发 Splunk 自定义应用和 Technology Add-on
- 具备构建企业级 Splunk 仪表板和自动化集成的开发能力
考试详情
适合谁考
适合人群
- Python 开发工程师，希望在 Splunk 平台开发自定义应用
- Splunk 平台工程师，需要扩展 Splunk 内置功能
- 具备 SPLK-1002 基础的分析师，希望提升开发能力
- 安全工程师，需要通过 REST API 实现 Splunk 系统集成
开始前最好先有
- 已通过 SPLK-1002 Splunk Core Certified Power User 认证（强烈建议）
- 具备 Python 编程能力（中级水平）
- 了解 REST API 和 HTTP 基础概念
- 熟悉 HTML/CSS/JavaScript 基础（仪表板开发需要）
值不值得考？职业价值
Splunk SPLK-2001 持证人的薪资区间、对应岗位、以及真实的职业影响。
Splunk Developer 是一个非常小众的角色，通常存在于 Splunk 合作伙伴或大型企业的 Splunk CoE 团队。独立 Splunk Developer 岗位在公开市场上不多，更常见的是 Security Engineer 或 Platform Engineer 兼做 Splunk 开发。
适合考的人：正在开发 Splunk App / Add-on 或做 Splunk 平台集成的开发者。
不适合考的人：只是 Splunk 的搜索用户或 Dashboard 消费者。
备考节奏
有 AWS 实操经验
零基础切入
建议日投入
学习路径预览
3 章分阶段备考路径
过来人总结的分阶段备考节奏，按周拆分，不是空话。
第一阶段：Splunk App 架构和 SDK（2 周）
理解 Splunk App 的目录结构（/bin、/default、/local、/metadata、/appserver/static）。metadata/local/default 配置文件的优先级规则。安装 Splunk SDK for Python，练习基本的连接和搜索操作。
第二阶段：REST API + 自定义命令 + Dashboard（2-3 周）
用 curl 或 Python requests 调用 Splunk REST API（/services/search/jobs、/services/saved/searches）。用 Python SDK 写一个 Streaming 自定义搜索命令。Simple XML Dashboard 的 token 传递和 drilldown 配置。
第三阶段：Add-on 开发 + 模考（1-2 周）
Modular Input 开发（用 Python 编写数据输入脚本）。KV Store 的 CRUD 操作。做 2 套模考，代码阅读题需要能快速理解 Python SDK 调用逻辑。
通过者的真实经验
过来人的备考时长、分数、以及踩过的坑。
有 Python 和 REST API 基础考起来不难。最容易丢分的是 metadata 配置文件的权限规则 — app.conf、metadata/default.meta 和 metadata/local.meta 的优先级关系务必搞清楚。
同赛道认证对比
| Splunk SPLK-2001 | Splunk SPLK-1002 | Splunk SPLK-1004 | |
|---|---|---|---|
| 机构 | 其他 | 其他 | 其他 |
| 级别 | 助理级 | 助理级 | 助理级 |
| 考试费 | $0 | $0 | $0 |
| 时长 | 90 min | 90 min | 90 min |
| 题量 | 65 | 65 | 63 |
| 有效期 | 3 年 | 3 年 | 3 年 |
备考技巧与常见失误
**不理解配置文件优先级** — system/local > app/local > app/default > system/default。考试经常给多层配置文件冲突的场景问最终生效的值。
**REST API 认证方式搞错** — Session Token（cookie-based）和 Bearer Token（OAuth）的获取和使用方式不同，考试都会涉及。
**Streaming 和 Reporting 命令混淆** — Streaming 命令逐条处理事件（可分布式），Reporting 命令需要全量数据（只在 Search Head 执行）。自定义命令必须声明类型。