Splunk Core Certified Power User

**搞混 Lookup 用 CSV 还是 KV Store** — CSV lookup 适合静态、小规模（几万行以下）、只读的参考表，比如 product_category、country_code。KV Store lookup 适合需要频繁写入更新、多 search head 共享状态的场景，比如 threat intel feed、用户会话跟踪。考题会问"需要从多个 search head 同时更新的查找表用哪种"，答案是 KV Store，不是 CSV。

**eval 函数里的引号和括号写错** — eval 的字符串字面量必须用双引号（`eval status="error"`），字段引用不加引号（`eval new_field=status`），函数嵌套容易漏括号。最常见的错误：`eval result=if(status="200","ok","fail")` 和 `eval result=case(status="200","ok",status="404","not_found",1=1,"other")`。考试一定会有一两道题直接给 eval 语句让你判断输出，括号错位的选项是常见干扰项。

**stats vs eventstats vs streamstats 分不清** — stats 聚合后把原始事件丢掉只保留聚合结果；eventstats 聚合后把结果作为新字段追加回每一个原始事件；streamstats 逐事件累计计算（running total）。考试最常见的场景：需要"在每一行旁边显示这个 host 的总数"用 eventstats，需要"累计计算前 N 行之和"用 streamstats。记不清就在自己 Splunk 里跑一次对比。

**时间修饰符语法错误** — `earliest=-24h@h latest=@h` 表示"从 24 小时前的整点到当前整点"，`@h` 是 snap-to-hour。常见错误：写成 `earliest=-24hours` 或 `earliest=-1d latest=0`（latest=0 是非法的）。另一个坑：`relative_time(now(), "-1d@d")` 在 eval 里用来生成相对时间，容易和搜索头部的时间修饰符混淆。

**Knowledge Object 的权限搞不清** — Splunk 的知识对象有三级权限：Private（仅创建者可见）、App（在当前 app 内所有人可见）、Global（所有 app 可见）。默认新建是 Private，这会导致"同事看不到我做的 Event Type"。考题会问"为什么同事的 search 里 eventtype 不生效"，答案通常是权限没改到 App 或 Global。这个坑很多人踩。

**以为 Data Model 必须加速才能用** — Data Model 不加速也能直接用 Pivot 做查询，加速（Data Model Acceleration）只是让查询变快（通过预计算 tsidx 文件）。考题会问"加速的前提条件"——答案包括：只能加速 Accelerated-Compatible Data Model、需要管理员权限、会占用额外磁盘空间。新手容易误以为"不加速 Data Model 就用不了"。

**忽略 rex 命令的 max_match 参数** — `| rex field=_raw "(?<ip>\d+\.\d+\.\d+\.\d+)" max_match=0` 里的 `max_match=0` 表示提取所有匹配（返回多值字段），默认是 1 只取第一个。考试里有日志行里有多个 IP、问如何全部提取的场景题。