车联网日志中同一 VIN 出现在多个位置（如事件头和嵌套载荷）时，mask 规则如何覆盖？

车联网事件日志中，车辆信号经消息队列进入规则计算和云端诊断服务，同一 VIN 可能同时出现在事件头（如顶层 vin 字段）和嵌套载荷（如 payload.vin）中。处理这类日志时，mask 规则需要对整个 content 字段执行识别，这样就能覆盖正文中每一处匹配，而不是只处理某个具体字段。配置示例如下：

* | extend content = mask(content, '[
  {"mode":"buildin","types":["VIN"],"maskType":"placeholder"},
  {"mode":"buildin","types":["LICENSE_PLATE"],"keepPrefix":2},
  {"mode":"keyword","keys":["token"],"maskType":"placeholder"}
]')

处理后外层 vin 和 payload.vin 均变为 [VIN_MASKED]，车牌变为粤B*****，而信号值、判定结果、规则版本、软件版本、mq.offset 和 latency_ms 等业务字段保持原值，可继续用于核对事件内容。需要注意：内置 VIN 识别包含格式与校验条件，异常格式的车辆标识应按已知键补充 keyword 处理；需要跨日志追踪事件时应使用事件 ID 或 Trace ID，脱敏后的占位符无法承担唯一关联键的作用。