nginx 默认不记录 ssl 证书详情，但可通过两种方式实现：一是用内置变量（如 $ssl_protocol、$ssl_server_name）记录 tls 握手参数；二是借助 openresty 的 ngx.ssl api（需 ≥1.21.4.2）提取服务端证书的 subject、有效期等字段并写入日志。
Nginx 本身不直接记录 SSL 证书的详细信息（比如证书颁发者、有效期、公钥指纹等）到日志文件中。它默认只记录 HTTP 请求层面的数据（如 $remote_addr、$request、$status），而 TLS 握手阶段的证书元数据（subject、not_before、not_after、issuer、serial 等）属于 SSL/TLS 协议层，不在标准 log_format 变量范围内。
但你可以通过以下两种实用方式间接实现“记录 SSL 证书相关信息”的目标：
✅ 方式一：用 Nginx 变量记录客户端协商的 TLS 参数（轻量、原生支持）
Nginx 提供了少量内置变量，反映当前连接使用的 TLS 协商结果，可直接写入 access log：
log_format ssl_info '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'ssl_protocol:$ssl_protocol ssl_cipher:$ssl_cipher '
'ssl_server_name:$ssl_server_name '
'ssl_client_verify:$ssl_client_verify';
access_log /var/log/nginx/ssl_access.log ssl_info;
这些变量含义如下：
-
$ssl_protocol：实际协商的 TLS 版本（如TLSv1.3） -
$ssl_cipher：使用的加密套件（如ECDHE-ECDSA-AES128-GCM-SHA256） -
$ssl_server_name：SNI 域名（即客户端请求的server_name） -
$ssl_client_verify：若启用了双向认证，显示SUCCESS/FAILED/NONE
⚠️ 注意：这些不是证书内容本身，而是握手结果。不包含证书过期时间、CN、签发机构等。
✅ 方式二：用 Lua 模块（OpenResty）或外部脚本提取并记录证书详情（精准、需扩展）
如果你真要记录证书的 subject、not_after、fingerprint 等字段，需借助：
▪ 使用 OpenResty + ngx.ssl Lua API（推荐）
前提：你使用的是 OpenResty（增强版 Nginx，内置 Lua 和 SSL 操作能力）。
在 server 块中添加：
location / {
content_by_lua_block {
local ssl = require "ngx.ssl"
local cert, err = ssl.peers()
if not cert then
ngx.log(ngx.WARN, "no client cert: ", err)
return
end
-- 注意：这里获取的是 *客户端* 证书（双向认证时）
-- 若想获取 *服务端自身证书*，需改用 ssl.server_certificate()（OpenResty ≥ 1.21.4.2）
local server_cert, err = ssl.server_certificate()
if server_cert then
local subj = ssl.certificate_subject(server_cert)
local valid_to = ssl.certificate_not_after(server_cert)
ngx.var.ssl_cert_subject = subj and subj.common_name or "N/A"
ngx.var.ssl_cert_expires = os.date("%Y-%m-%d", valid_to)
end
}
}
再自定义 log_format 引用这些变量：
log_format full_ssl '$remote_addr - $remote_user [$time_local] '
'"$request" $status '
'cert_cn:"$ssl_cert_subject" expires:"$ssl_cert_expires"';
access_log /var/log/nginx/full_ssl.log full_ssl;
✅ 优势：能真实读取服务端证书的 X.509 字段
? 要求：必须用 OpenResty，且版本 ≥ 1.21.4.2；普通 Nginx 不支持ssl.server_certificate()。
❌ 补充说明：为什么不能直接用标准 Nginx 记录证书内容？
-
ssl_certificate和ssl_certificate_key是配置指令，仅用于加载证书，不暴露为运行时变量； - Nginx 设计上不解析或缓存证书结构体，不提供
cert_issuer、cert_serial等变量； - 所有证书验证（如 OCSP、CRL、链验证）都在 OpenSSL 底层完成，Nginx 仅接收成功/失败信号。
✅ 替代建议：定期离线检查并归档证书信息
对运维更实用的做法是——不依赖 Nginx 日志，而用脚本定期检查：
# 查看证书有效期（适用于 /etc/nginx/ssl/example.com.pem） openssl x509 -in /etc/nginx/ssl/example.com.pem -noout -dates # 输出示例：notAfter=Dec 5 12:00:00 2026 GMT # 提取指纹（用于监控变更） openssl x509 -in /etc/nginx/ssl/example.com.pem -noout -fingerprint -sha256
可配合 cron 每日执行，将结果写入日志或告警系统，比实时记录更可靠。
不复杂但容易忽略：真正需要“记录证书信息”，往往是为了审计、过期预警或合规报告——这些场景用脚本+定时任务比强塞进 access log 更清晰、可控、可追溯。
