Question 1

SPLK-2001 Splunk Certified Developer 考试难度如何？需要什么编程基础？

Accepted Answer

SPLK-2001（Splunk Certified Developer）是 Splunk 开发方向的专业认证，考试侧重 Splunk 平台的二次开发能力。难度特点：(1) 需要具备扎实的 Python 编程能力，因为自定义搜索命令开发和 Modular Inputs 开发都依赖 Python Splunk SDK；(2) REST API 部分考查 HTTP 请求构造、认证方式（Session Token vs Bearer Token vs Basic Auth）和常用端点的使用；(3) Simple XML 和 Dashboard Studio 的仪表板开发考查对前端技术（HTML/CSS/JavaScript）的基本理解；(4) 需要理解 Splunk App 的目录结构规范和 Add-on 的元数据配置。建议有 SPLK-1002 基础并具备 Python 中级编程能力后备考，准备时间约 4-8 周。

Question 2

SPLK-2001 考试中 REST API 开发占多大比重？需要掌握哪些 API？

Accepted Answer

REST API 约占 SPLK-2001 考试的 20%，核心考点包括：(1) 认证方式：Session Token（通过 /services/auth/login 获取）vs Bearer Token（Splunk 9.x 推荐）vs Basic Auth 的区别和使用场景；(2) 常用 API 端点：/services/search/jobs（创建搜索任务）、/services/search/jobs/{sid}/results（获取结果）、/services/data/inputs（管理数据输入）、/services/apps/local（管理 App）；(3) 数据写入：通过 /services/receivers/simple 和 HTTP Event Collector（/services/collector）写入事件；(4) KV Store 操作：/servicesNS/.../storage/collections/data/{collection} 增删改查；(5) 响应格式：XML vs JSON 输出格式的设置（output_mode=json 参数）。重点理解如何构造正确的 HTTP 请求头和处理响应。

Question 3

SPLK-2001 考试中自定义搜索命令和 Modular Inputs 是必考内容吗？

Accepted Answer

是的，自定义开发能力是 SPLK-2001 的核心考点。需要掌握：(1) 自定义搜索命令类型：Streaming（每个事件独立处理，效率高）vs Reporting（汇聚所有事件后处理）vs Eventing（可以生成新事件）的差异；(2) 使用 Splunk Python SDK 开发流程：继承对应基类、实现 transform()/reduce() 方法、在 commands.conf 中注册命令；(3) Modular Inputs（模块化输入）：定义 scheme.xml 描述输入参数、实现数据采集逻辑、在 inputs.conf 配置触发；(4) 使用 Splunk Add-on Builder 可以简化 Add-on 和 Modular Inputs 的开发流程；(5) 调试和日志记录：使用 logging 模块写入 splunkd.log，通过 index=_internal 搜索调试信息。

Question 4

SPLK-2001 中 Simple XML 和 Dashboard Studio 的区别是什么？考试考哪个？

Accepted Answer

两者都在考试范围内，但侧重不同。主要区别：(1) Simple XML 是 Splunk 传统仪表板框架，使用 XML 声明式语法定义 panels/charts/inputs，成熟稳定，支持通过 JavaScript 扩展点进行深度自定义；(2) Dashboard Studio（原 React Dashboard）是新一代框架，使用 JSON 配置，原生支持更丰富的可视化类型和布局选项，是 Splunk 推荐的未来方向；(3) 考试中 Simple XML 的比重仍然较高，重点考查 XML 标签结构、token 变量传递、drilldown 配置和 form inputs（时间范围、下拉菜单）的配置方式；(4) Dashboard Studio 主要考查基本的 JSON 配置结构和如何从 Simple XML 迁移；(5) 自定义 CSS 和 JavaScript：通过 /appserver/static/ 目录注入自定义样式和行为脚本。

Question 5

SPLK-2001 考试需要了解 KV Store 吗？有哪些操作需要掌握？

Accepted Answer

KV Store 是 SPLK-2001 的重要考点，约占 10-15%。需要掌握：(1) KV Store 定义：在 collections.conf 中定义集合结构（字段类型：string/number/boolean/array）；(2) 配置访问权限：在 transforms.conf 中定义 lookup 表，在 metadata 中设置权限；(3) SPL 操作：| outputlookup 写入 KV Store、| inputlookup 读取、| lookup 关联查询；(4) REST API 操作：通过 /servicesNS/.../storage/collections/data/{collection} 进行 GET（查询）、POST（插入）、PUT（替换）、DELETE（删除）操作；(5) SDK 操作：使用 Python SDK 的 KVStore 类进行 CRUD 操作；(6) 批量操作：batch_save() 批量插入提高性能。KV Store 相比 CSV Lookup 的优势是支持 REST API 动态更新、支持并发写入、无需文件系统访问权限。

Question 6

SPLK-2001 认证的职业价值如何？适合哪些岗位？

Accepted Answer

SPLK-2001 在 Splunk 开发领域是重要的技能认证：(1) 适合岗位：Splunk 平台工程师、Splunk App 开发工程师、安全集成开发工程师、SIEM 工程师等；(2) 与其他认证的关系：SPLK-2001 走开发方向，与走管理方向的 SPLK-1003（Admin）和走分析方向的 SPLK-1002（Power User）形成不同的职业路径；(3) 实际需求：越来越多的企业需要人员扩展 Splunk 功能，包括与 ServiceNow、Jira、AWS 等系统的 REST API 集成，以及定制化仪表板开发；(4) 薪资范围：澳洲和北美市场，Splunk 开发工程师年薪通常在 $90K-$130K AUD 之间；(5) 建议在获得 SPLK-1002 后考取 SPLK-2001，形成"分析 + 开发"的复合型 Splunk 专家背景。认证有效期 3 年。

	Splunk SPLK-2001	Splunk SPLK-1002	Splunk SPLK-1004
机构	其他	其他	其他
级别	助理级	助理级	助理级
考试费	$0	$0	$0
时长	90 min	90 min	90 min
单次考试题量	65	65	63
有效期	3 年	3 年	3 年

Splunk Certified Developer

这张认证到底考什么

你会反复碰到的核心服务

学完以后你能带走什么

考试详情

适合谁考

适合人群

开始前最好先有

值不值得考？职业价值

备考节奏

有 AWS 实操经验

零基础切入

建议日投入

学习路径预览

分阶段备考路径

第一阶段：Splunk App 架构和 SDK（2 周）

第二阶段：REST API + 自定义命令 + Dashboard（2-3 周）

第三阶段：Add-on 开发 + 模考（1-2 周）

通过者的真实经验

同赛道认证对比

备考技巧与常见失误

常见问题

如果你准备考 Splunk SPLK-2001，先从真题型练习开始。

学员评价

你可能顺手也会看这些

Splunk SPLK-1002

Splunk SPLK-1004

Splunk SPLK-1001