先了解这张认证
SPLK-2001 Splunk Certified Developer 是面向 Splunk 平台开发工程师的专业认证，65 题 / 75 分钟。前置要求：Splunk Core Certified Power User（SPLK-1002）。
考试覆盖 Splunk App 架构（目录结构、metadata/local/default 优先级、权限模型）、Dashboard 开发（Simple XML + Dashboard Studio）、REST API 操作（创建/搜索/管理索引和 Saved Search）、自定义搜索命令（用 Python SDK 写 Streaming/Reporting 命令）、Add-on 开发（modular inputs、CIM 映射）。
和分析方向的 SPLK-1004 完全不同，Developer 考的是"扩展 Splunk 平台的能力"而不是"用 Splunk 做分析"。约 20% 的题是 Python 代码阅读题。
考试档案
- 考试代码
- SPLK-2001
- 发证机构
- 其他
- 题型
- single-choice / multiple-choice
- 考试语言
- English
- 证书有效期
- 3 年
你会学到的技能
学完能做什么
- 自信通过 Splunk Certified Developer SPLK-2001 认证
- 掌握 Splunk REST API 的完整使用方法和认证机制
- 能够独立开发 Splunk 自定义应用和 Technology Add-on
- 具备构建企业级 Splunk 仪表板和自动化集成的开发能力
适合这样的你
- Python 开发工程师，希望在 Splunk 平台开发自定义应用
- Splunk 平台工程师，需要扩展 Splunk 内置功能
- 具备 SPLK-1002 基础的分析师，希望提升开发能力
- 安全工程师，需要通过 REST API 实现 Splunk 系统集成
开始前需要什么
- 已通过 SPLK-1002 Splunk Core Certified Power User 认证（强烈建议）
- 具备 Python 编程能力（中级水平）
- 了解 REST API 和 HTTP 基础概念
- 熟悉 HTML/CSS/JavaScript 基础（仪表板开发需要）
一步一步，准备好考试
3 个章节 · 学习路径
安排你的备考
- 课程学习时长
- 14h
- 有相关实操经验
- 4-6 周
- 从基础开始
- 8-12 周
- 建议日投入
- 1-2h
备考支持
- 146 道练习题，覆盖 Splunk 开发核心考点
- 重点强化：REST API 认证方式、自定义命令类型选择
- AI 智能辅导，讲解 Simple XML vs Dashboard Studio 的适用场景
- 涵盖 Python SDK 开发场景和 KV Store 操作考题
- 详细中文解析，结合代码说明开发概念
1. 第一阶段：Splunk App 架构和 SDK（2 周）
理解 Splunk App 的目录结构（/bin、/default、/local、/metadata、/appserver/static）。metadata/local/default 配置文件的优先级规则。安装 Splunk SDK for Python，练习基本的连接和搜索操作。
2. 第二阶段：REST API + 自定义命令 + Dashboard（2-3 周）
用 curl 或 Python requests 调用 Splunk REST API（/services/search/jobs、/services/saved/searches）。用 Python SDK 写一个 Streaming 自定义搜索命令。Simple XML Dashboard 的 token 传递和 drilldown 配置。
3. 第三阶段：Add-on 开发 + 模考（1-2 周）
Modular Input 开发（用 Python 编写数据输入脚本）。KV Store 的 CRUD 操作。做 2 套模考，代码阅读题需要能快速理解 Python SDK 调用逻辑。
这张认证的职业价值
Splunk Developer 是一个非常小众的角色，通常存在于 Splunk 合作伙伴或大型企业的 Splunk CoE 团队。独立 Splunk Developer 岗位在公开市场上不多，更常见的是 Security Engineer 或 Platform Engineer 兼做 Splunk 开发。
适合考的人：正在开发 Splunk App / Add-on 或做 Splunk 平台集成的开发者。
不适合考的人：只是 Splunk 的搜索用户或 Dashboard 消费者。
- 澳洲
- AUD 130,000 – 170,000
- 美国
- USD 115,000 – 160,000
- 新加坡
- SGD 90,000 – 140,000
备考时，做好这些事
这些误区要避开
- **不理解配置文件优先级** — system/local > app/local > app/default > system/default。考试经常给多层配置文件冲突的场景问最终生效的值。
- **REST API 认证方式搞错** — Session Token（cookie-based）和 Bearer Token（OAuth）的获取和使用方式不同，考试都会涉及。
- **Streaming 和 Reporting 命令混淆** — Streaming 命令逐条处理事件（可分布式），Reporting 命令需要全量数据（只在 Search Head 执行）。自定义命令必须声明类型。
报名之前，你可能想问
SPLK-2001 Splunk Certified Developer 考试难度如何？需要什么编程基础？
SPLK-2001（Splunk Certified Developer）是 Splunk 开发方向的专业认证，考试侧重 Splunk 平台的二次开发能力。难度特点：(1) 需要具备扎实的 Python 编程能力，因为自定义搜索命令开发和 Modular Inputs 开发都依赖 Python Splunk SDK；(2) REST API 部分考查 HTTP 请求构造、认证方式（Session Token vs Bearer Token vs Basic Auth）和常用端点的使用；(3) Simple XML 和 Dashboard Studio 的仪表板开发考查对前端技术（HTML/CSS/JavaScript）的基本理解；(4) 需要理解 Splunk App 的目录结构规范和 Add-on 的元数据配置。建议有 SPLK-1002 基础并具备 Python 中级编程能力后备考，准备时间约 4-8 周。
SPLK-2001 考试中 REST API 开发占多大比重？需要掌握哪些 API？
REST API 约占 SPLK-2001 考试的 20%，核心考点包括：(1) 认证方式：Session Token（通过 /services/auth/login 获取）vs Bearer Token（Splunk 9.x 推荐）vs Basic Auth 的区别和使用场景；(2) 常用 API 端点：/services/search/jobs（创建搜索任务）、/services/search/jobs/{sid}/results（获取结果）、/services/data/inputs（管理数据输入）、/services/apps/local（管理 App）；(3) 数据写入：通过 /services/receivers/simple 和 HTTP Event Collector（/services/collector）写入事件；(4) KV Store 操作：/servicesNS/.../storage/collections/data/{collection} 增删改查；(5) 响应格式：XML vs JSON 输出格式的设置（output_mode=json 参数）。重点理解如何构造正确的 HTTP 请求头和处理响应。
SPLK-2001 考试中自定义搜索命令和 Modular Inputs 是必考内容吗？
是的，自定义开发能力是 SPLK-2001 的核心考点。需要掌握：(1) 自定义搜索命令类型：Streaming（每个事件独立处理，效率高）vs Reporting（汇聚所有事件后处理）vs Eventing（可以生成新事件）的差异；(2) 使用 Splunk Python SDK 开发流程：继承对应基类、实现 transform()/reduce() 方法、在 commands.conf 中注册命令；(3) Modular Inputs（模块化输入）：定义 scheme.xml 描述输入参数、实现数据采集逻辑、在 inputs.conf 配置触发；(4) 使用 Splunk Add-on Builder 可以简化 Add-on 和 Modular Inputs 的开发流程；(5) 调试和日志记录：使用 logging 模块写入 splunkd.log，通过 index=_internal 搜索调试信息。
SPLK-2001 中 Simple XML 和 Dashboard Studio 的区别是什么？考试考哪个？
两者都在考试范围内，但侧重不同。主要区别：(1) Simple XML 是 Splunk 传统仪表板框架，使用 XML 声明式语法定义 panels/charts/inputs，成熟稳定，支持通过 JavaScript 扩展点进行深度自定义；(2) Dashboard Studio（原 React Dashboard）是新一代框架，使用 JSON 配置，原生支持更丰富的可视化类型和布局选项，是 Splunk 推荐的未来方向；(3) 考试中 Simple XML 的比重仍然较高，重点考查 XML 标签结构、token 变量传递、drilldown 配置和 form inputs（时间范围、下拉菜单）的配置方式；(4) Dashboard Studio 主要考查基本的 JSON 配置结构和如何从 Simple XML 迁移；(5) 自定义 CSS 和 JavaScript：通过 /appserver/static/ 目录注入自定义样式和行为脚本。
SPLK-2001 考试需要了解 KV Store 吗？有哪些操作需要掌握？
KV Store 是 SPLK-2001 的重要考点，约占 10-15%。需要掌握：(1) KV Store 定义：在 collections.conf 中定义集合结构（字段类型：string/number/boolean/array）；(2) 配置访问权限：在 transforms.conf 中定义 lookup 表，在 metadata 中设置权限；(3) SPL 操作：| outputlookup 写入 KV Store、| inputlookup 读取、| lookup 关联查询；(4) REST API 操作：通过 /servicesNS/.../storage/collections/data/{collection} 进行 GET（查询）、POST（插入）、PUT（替换）、DELETE（删除）操作；(5) SDK 操作：使用 Python SDK 的 KVStore 类进行 CRUD 操作；(6) 批量操作：batch_save() 批量插入提高性能。KV Store 相比 CSV Lookup 的优势是支持 REST API 动态更新、支持并发写入、无需文件系统访问权限。
SPLK-2001 认证的职业价值如何？适合哪些岗位？
SPLK-2001 在 Splunk 开发领域是重要的技能认证：(1) 适合岗位：Splunk 平台工程师、Splunk App 开发工程师、安全集成开发工程师、SIEM 工程师等；(2) 与其他认证的关系：SPLK-2001 走开发方向，与走管理方向的 SPLK-1003（Admin）和走分析方向的 SPLK-1002（Power User）形成不同的职业路径；(3) 实际需求：越来越多的企业需要人员扩展 Splunk 功能，包括与 ServiceNow、Jira、AWS 等系统的 REST API 集成，以及定制化仪表板开发；(4) 薪资范围：澳洲和北美市场，Splunk 开发工程师年薪通常在 $90K-$130K AUD 之间；(5) 建议在获得 SPLK-1002 后考取 SPLK-2001，形成"分析 + 开发"的复合型 Splunk 专家背景。认证有效期 3 年。
听听学过的人怎么说
评价加载中…
有 Python 和 REST API 基础考起来不难。最容易丢分的是 metadata 配置文件的权限规则 — app.conf、metadata/default.meta 和 metadata/local.meta 的优先级关系务必搞清楚。
C. Pham
Splunk 平台工程师 @ MSSP · 通过 · 5 周
从第一章，开始你的备考。
前 2 章免费试学 · 完整备考 $29 起