splunk-curl-search

通过 curl（REST）从客户端机器对任意 Splunk Enterprise 实例运行有界、只读的 SPL 搜索——无需 SSH 登录 Splunk 主机，也无需额外 CLI 工具。适用于以下场景：“主机 X 是否正在向 Splunk 发送日志”、“列出所有发送方”、“主机 Y 何时停止发送日志”、索引保留时间/大小、sourcetype 分类统计，或任何临时 SPL 查询。首先检测 SSO 前端（oauth2-proxy、SAML IdP 或经过过滤的管理端口），并自动选择合适的认证路径；凭据来源为 1Password（op://）或权限为 0600 的 KEY=VALUE 文件；SPL 查询经过语法检查，禁止执行变更操作、全时间范围原始数据查询、index=* 原始数据查询以及前导通配符搜索。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本

相关资产