夜雨聆风🚀 Day 19：安全第一的纯净打包法 —— 手动构建Splunk Addon安装包
今日目标：
1. 避坑指南：破解 AOB 打包经常报错 could not connect to App Certification 的网络与底层环境原因。
2. 纯原生构建：放弃 AOB 打包，使用 Linux 纯原生 tar 命令，严格 --exclude 掉包含隐私密钥的 local 目录和隐藏文件。
3. 成果验收：手动产出极其纯净、无毒无害、符合行业标准的 TA-peak-llm-analyzer-1.0.0.spl 安装包。
🕵️♂️ 概念剖析：为什么我们要抛弃 AOB 的一键打包？
在 Splunk Add-on Builder (AOB) 的右上角，有一个诱人的 Validate & Package 按钮。但作为架构师，我强烈建议你永远不要在生产环境使用它。原因有二：
1. 令人崩溃的 App Certification 网络报错
当你点击打包时，AOB 会试图调用本地或远端的 AppInspect 服务来验证代码合规性。由于企业内网的防火墙限制，或者 Splunk 认证服务器的跨国网络波动，经常会无情弹出 could not connect to App Certification 错误。这会让你的发布流程直接卡死，陷入无尽的排错循环。
2. 致命的隐私泄露危机 (The local Directory Trap)
在前面的课程中我们讲过，你在 Splunk 前端配置的 API Key（如阿里云通义千问的密钥）、测试日志路径、测试宏等，全部都保存在 local/passwords.conf 和 local/app.conf 中。虽然 AOB 号称在打包时会忽略特定文件，但其内置的黑名单机制有时并不完全可靠。一旦 local 目录被误打包进安装包，只要别人拿到你的 .spl 文件，解压后就能直接盗用你昂贵的 LLM API Token！
极客的解决方案：我们自己掌握命运。Splunk 的 .spl 安装包，本质上就是一个改了后缀名的 .tar.gz 压缩包。我们将直接在 Linux 底层，用最纯粹的 tar 命令精确排除所有危险目录！
💻 实战步骤 1：打包前的前置准备
在打包之前，必须确保你在 Day 17 和 Day 18 注入的高级大屏和导航栏，已经稳稳地保存在了 default 目录中。
请在终端中执行你的恢复脚本，确保前端 UI 资产是最新的：
# 运行我们在 Day 18 写的恢复脚本
cd ~
./restore_ui.sh
(确认看到 [SUCCESS] Injected 提示，表明你的 default 目录状态完美。)
💻 实战步骤 2：使用纯原生 tar 命令精准打包
现在，我们将潜入 Splunk 的应用根目录，执行带有精准屏蔽规则的打包命令。我们要排除掉：
• local/ 目录：包含你的真实 API 凭证和本地测试配置。
• metadata/local.meta：包含你本地的私有权限配置。
• .* (隐藏文件)：如 .git, .DS_Store，避免暴露开发环境痕迹。
• __pycache__ / *.pyc：Python 运行时的缓存垃圾。
请在终端依次执行以下命令：
# 1. 进入 Splunk 插件的统一存放目录
cd /opt/splunk/etc/apps/
# 2. 执行精确排除的打包命令 (生成格式为 .spl)
tar -czvf TA-peak-llm-analyzer-1.0.0.spl \
--exclude="TA-peak-llm-analyzer/local"\
--exclude="TA-peak-llm-analyzer/metadata/local.meta"\
--exclude="*/\.*"\
--exclude="*/__pycache__"\
--exclude="*.pyc"\
TA-peak-llm-analyzer
终端会飞速滚动打包的文件列表。几秒钟后，打包完成！当前目录下会生成一个名为 TA-peak-llm-analyzer-1.0.0.spl 的文件。
🔍 实战步骤 3：合规性反向审查 (Sanity Check)
作为一个严谨的安全从业者，打包出来的文件不能直接发给客户，必须进行“防泄密反查”。
我们要在不解压的情况下，查看刚才生成的 .spl 压缩包里，到底有没有混入该死的 local 目录。
执行反查命令：
tar -tvf TA-peak-llm-analyzer-1.0.0.spl | grep local
验收标准：
• 如果终端没有任何输出（一片空白），或者只输出了不相关的包含 "local" 字母的文件（比如某个 Python 库自带的名字），说明你成功屏蔽了 local/ 目录！
• 如果输出了 TA-peak-llm-analyzer/local/passwords.conf，立刻停止发布！回去检查你的 tar 命令排除规则。
如果一切顺利，你可以将这个 .spl 文件移动到你的家目录，方便随后下载到 Windows/Mac 宿主机上：
mv TA-peak-llm-analyzer-1.0.0.spl ~/
🎉 Day 19 结语：
恭喜你！今天你利用 Linux 的原生工具，完美绕过了AOB打包工具的黑盒限制与网络故障。你亲手构建的 TA-peak-llm-analyzer-1.0.0.spl 是极其纯净的，不带任何你的私有测试数据或 API 密钥，它已经具备了在全世界任何一家 500 强企业的 Splunk 集群上被安全安装的资格。
明天，Day 20：拥抱开源。我们将把这份经过千锤百炼的心血之作推送到 GitHub，撰写极客风的 README，让全球的安全同仁见证你的智能体架构！
👇 全套教程多平台同步更新 👇
https://blog.csdn.net/thewindrider/category_13144991.html
https://gitcode.com/Chang_feng_Po/Splunk-AI-PEAK-Tutorial
