我正在尝试根据查找表标记数据。查找表包含以下字段：
•key-表示要标记的数据中的字段名。在实际数据中，该字段是“headers”字段的一个子字段。。“key”字段的示例：“server.（*是通配符）
•值-表示上述字段的所需值。查找表中的值只是实际数据值中字符串的一部分。“值”字段的示例：“avtech”。
•供应商-如果在文档中找到字段-值的组合，我希望添加到实际数据中的值。
真实数据中的组合示例：“headers.server:linux/2.x upnp/1.0 avtech/1.0”

A match with that document in the look up table will be:
Key= Server (with wildcard on both sides).
Value= Avtech(with wildcard on both sides)
Vendor= Avtech

因此，我需要在文档中添加一个值为“avtech”的字段。
“headers”中的子字段是动态字段，在文档之间会发生变化。
如果未找到匹配项，则需要将值“未知”添加到标记字段。
我尝试过使用enrich处理器，使用查找表作为源数据，匹配字段将是“value”，enrich字段将是“vendor”。在enrich处理器中，我不知道如何调用字段，因为它是动态的，我想搜索值是否在“headers”子字段中的任何位置。另外，我不认为查找表中的“value”和headers子字段的值之间会有匹配，因为查找表中的“value”字段是两边都有通配符的子字符串。
我可以利用一些帮助来完成我想做的事。。以及如何在enrich处理器中使用通配符进行搜索。或者，除了丰富处理器之外，您还有其他想法，比如父-子和查找术语机制。
谢谢！阿迪。