核心用法
Splunk HTTP Event Collector（HEC）是 Splunk 官方提供的高性能日志数据接收接口，本技能通过 OOMOL 平台的连接器封装，让用户无需直接接触 API Token 即可安全地向 Splunk 实例发送事件数据。
使用流程分为三步：首先通过 oo connector schema 获取目标操作的权威输入输出 Schema；随后构造符合规范的 JSON 载荷；最后执行 oo connector run 完成数据投递。支持两种写入模式：send_event 用于发送结构化 JSON 事件，send_raw_event 用于发送原始文本日志，均标记为 [write] 操作，执行前需确认载荷内容。
OOMOL 采用服务端凭证注入机制，用户本地永不接触原始 Token，从根本上杜绝密钥泄露风险。首次使用需完成 CLI 安装、账号登录及 HEC 连接配置，后续操作全程无感化。
显著优点
1. 零接触凭证管理：OOMOL 服务端托管 Splunk HEC Token，用户侧无密钥暴露面，满足企业安全合规要求。
2. 官方协议原生支持：直接对接 Splunk 标准 HEC 接口，无需额外适配层，数据格式与官方文档 1:1 兼容。
3. 双模式写入灵活：结构化事件与原始文本双通道覆盖 90% 以上的日志采集场景，从应用埋点到服务器 syslog 均可无缝接入。
4. Schema 驱动开发：oo connector schema 提供实时契约文档，降低接口调试成本，避免字段错位导致的写入失败。
5. 跨平台 CLI 支持：macOS、Linux、Windows PowerShell 一键安装，开发环境迁移零负担。
潜在缺点与局限性
1. 只写不读：当前版本仅开放 send_event 与 send_raw_event 两个写入动作，不支持搜索、查询或管理已有索引数据，需配合 Splunk Web 或其他工具完成数据消费。
2. 网络依赖：所有操作经 OOMOL 云端中继，内网离线环境或网络策略严格的场景下可能受限。
3. 计费门槛：OOMOL 平台采用 Token 计费模型，高频写入场景需关注 OOMOL_INSUFFICIENT_CREDIT 错误并及时充值。
4. 无批量压缩：未提及 gzip 压缩或批量打包（batch）模式，超大规模日志流可能面临传输效率瓶颈。
5. 生态绑定：深度依赖 OOMOL CLI 与账号体系，已有成熟 CI/CD 或自动化脚本需额外适配层才能迁移。
适合的目标群体
- 运维工程师（SRE/DevOps）：需将容器、K8s、服务器日志实时汇聚至 Splunk 统一监控。
- 后端开发者：希望在应用代码中埋点，通过安全通道上报业务事件与异常追踪数据。
- 数据平台团队：建设 ELT 流水线，将分散系统的日志数据规范化写入 Splunk 进行分析。
- 安全合规专员：对凭证管理有严格要求，需要避免 Token 硬编码或泄露风险的企业环境。
使用风险
1. 误写风险：[write] 操作直接修改 Splunk 索引状态，错误的事件格式或目标索引可能导致数据污染或检索异常，务必先通过 schema 校验再执行。
2. 成本失控：高频写入会快速消耗 OOMOL Token 额度，建议生产环境配置写入速率限制与告警。
3. 连接失效：长期未使用的连接可能触发 credential_expired 或 scope_missing，需预留重连流程。
4. 数据延迟：经 OOMOL 中继相比直连 Splunk HEC 端点可能引入毫秒级额外延迟，极端实时场景需压测验证。
5. 单点依赖：OOMOL 服务可用性直接影响日志采集链路，建议核心系统保留备用日志落地方案（如本地文件缓冲）。