Nginx 中 HTTPS 配置如何在 Nginx 日志中记录完整的加密协议信息

要在 Nginx 日志中记录完整 HTTPS 加密协议信息，需组合使用 $ssl_protocol、$ssl_cipher、$ssl_server_name、$ssl_session_reused 等真实 TLS 握手变量，定义专用 log_format 并仅在 listen 443 ssl 的 server 块中启用 access_log。

要在 Nginx 日志中记录完整的 HTTPS 加密协议信息，关键不是“开启某个开关”，而是把几个真实反映 TLS 握手结果的内置变量组合进专用日志格式，并严格限定该格式只用于实际处理 HTTPS 的 server 块。

必须用对的变量

Nginx 提供一组只在 SSL 握手完成后才被赋值的变量，它们不可伪造、不依赖配置声明，而是来自真实连接：

1. $ssl_protocol：显示最终协商的 TLS 版本，如 TLSv1.3 或 TLSv1.2
2. $ssl_cipher：显示实际选用的加密套件，如 TLS_AES_256_GCM_SHA384（TLS 1.3）或 ECDHE-RSA-AES256-GCM-SHA384（TLS 1.2）
3. $ssl_server_name：客户端通过 SNI 发送的目标域名，用于识别虚拟主机
4. $ssl_session_reused：值为 r（复用）或 .（新建），反映会话复用效率

定义专用日志格式

在 http{} 块顶部添加自定义格式，推荐使用竖线或空格分隔，便于后续解析：

log_format ssl_full '$time_iso8601|$remote_addr|$ssl_protocol|$ssl_cipher|$ssl_server_name|$ssl_session_reused|$request_method|$uri|$status|$bytes_sent|$request_time|"$http_user_agent"';

这个格式聚焦核心安全参数，时间戳用 ISO 标准，字段间用竖线分隔，避免日志内容内部出现歧义空格。

只在 HTTPS server 块中启用

切勿把 access_log 指令写在 http{} 块或监听 80 端口的 server 块里。它必须且只能出现在明确启用 SSL 的块中：

server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/fullchain.pem;
ssl_certificate_key /path/to/privkey.pem;
access_log /var/log/nginx/ssl-full.log ssl_full;
}

注意：listen 443 ssl; 中的 ssl 关键字不可省略——缺了它，所有 $ssl_* 变量都会为空或显示短横线。

验证是否真正生效

配置完成后执行两步检查：

1. 运行 nginx -t 确认语法无误
2. 执行 nginx -s reload 重载配置
3. 用 curl 或浏览器访问一次 HTTPS 地址，再查看日志：tail -n 1 /var/log/nginx/ssl-full.log

正常输出应类似：

2026-08-21T02:55:33+0000|203.0.113.42|TLSv1.3|TLS_AES_256_GCM_SHA384|example.com|r|GET|/|200|1528|0.012|"curl/8.10.1"

如果 tls= 后为空或全是短横线，优先检查 listen 行是否漏了 ssl，以及 access_log 是否误放在了 HTTP server 块中。