apache的mod_log_config无法记录tls session id或session ticket等唯一会话标识符，因其设计上仅支持握手成功后的会话级变量（如%{ssl_protocol}x、%{ssl_cipher}x），而原始握手标识未被openssl稳定导出供日志模块使用。
Apache 的 mod_log_config 无法记录每个 HTTP 请求的唯一 SSL 会话标识符（如 TLS session ID 或 session ticket）。这不是配置问题，而是模块与 OpenSSL 集成层面的设计限制：这些底层握手标识在连接建立初期就已生成，但 Apache 日志模块介入时，它们并未被稳定导出为 %{}x 可访问变量。
你实际能用的，是握手成功后由 mod_ssl 提供的会话级上下文信息——虽不唯一，但组合起来可有效区分不同安全连接。
可靠记录的 TLS 会话字段（需启用 mod_ssl）
确保已加载并启用 mod_ssl：
LoadModule ssl_module modules/mod_ssl.so SSLEngine on
然后在 LogFormat 中使用以下 %{}x 变量：
-
%{SSL_PROTOCOL}x→ 实际协商协议（如TLSv1.3） -
%{SSL_CIPHER}x→ 密码套件（如TLS_AES_256_GCM_SHA384） -
%{SSL_CIPHER_USEKEYSIZE}x→ 对称密钥位数（如256） -
%{SSL_SECURE_RENEG}x→ 重协商状态（secure/unsafe） -
%{SSL_CLIENT_VERIFY}x→ 客户端证书验证结果（SUCCESS/NONE/FAILED:xxx）
示例日志格式：
LogFormat "%h %t \"%r\" %>s %b %{SSL_PROTOCOL}x/%{SSL_CIPHER}x/%{SSL_CIPHER_USEKEYSIZE}x" ssl_summary
CustomLog logs/ssl-access.log ssl_summary
⚠️ 注意：
%{SSL_SESSION_ID}x在绝大多数 Apache 2.4.x + OpenSSL 组合中返回空或-，不可靠，不建议依赖。
为什么真·唯一会话 ID 不可用？
- TLS session ID 和 session ticket 属于握手早期的内部状态，Apache 日志流程发生在 HTTP 请求处理阶段，此时原始 ID 已被 OpenSSL 内部管理，未暴露给
mod_log_config。 - 没有
%{SSL_SESSION_ID}x的稳定实现，也不存在%{SSL_TICKET}x这类字段。
真实需要唯一标识时的可行路径
若目标是追踪单个 TLS 连接生命周期（比如分析复用率、定位握手失败影响范围），推荐以下方式：
-
应用层注入请求 ID：由 Java/Spring Boot 等后端生成
X-Request-ID，透传到 Apache，并与 TLS 字段一起记录：LogFormat "%h %t \"%r\" %>s %b %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%{X-Request-ID}i\"" traced_ssl CustomLog logs/traced.log traced_ssl -
抓包分析原始握手：用
tcpdump提取 ClientHello 中的session_id字段：tcpdump -i any -nn port 443 -w tls.pcap tshark -r tls.pcap -Y "tls.handshake.type == 1" -T fields -e tls.handshake.session_id
调试级 OpenSSL 日志（仅测试环境）：设置
SSL_DEBUG=1并启用LogLevel debug，配合SSLOptions +StdEnvVars，可看到部分握手事件，但非结构化、性能开销大，不适用于生产。
不复杂但容易忽略。
