要实现 https 加密通信的细粒度审计日志，核心是记录 tls 协商细节、发起方、请求内容及异常行为，所有字段须可验证、可关联、可脱敏；需启用 nginx 原生 ssl 变量（如 $ssl_protocol、$ssl_cipher）、定义专用日志格式、分离 https 日志路径、脱敏敏感字段，并结合真实 ip 识别与日志分析构建可追溯链路。
要实现 HTTPS 加密通信的细粒度审计日志，核心不是只记“有没有 HTTPS”，而是记录每次连接真实协商了什么、谁发起的、请求了什么、是否异常——所有字段必须可验证、可关联、可脱敏。
启用 TLS 握手关键变量日志
Nginx 提供原生变量直接反映 SSL/TLS 协商结果，仅在 listen 443 ssl 的 server 块中有效：
-
$ssl_protocol：实际使用的协议版本，如
TLSv1.3或TLSv1.2 -
$ssl_cipher：最终选定的加密套件，如
ECDHE-RSA-AES256-GCM-SHA384 -
$ssl_server_name：客户端通过 SNI 发送的目标域名（需确保
ssl_sni on，默认开启） -
$ssl_session_reused：会话是否复用，值为
r（复用）或.（未复用），用于评估 TLS 性能与客户端行为
这些变量不依赖外部模块，编译时含 --with-http_ssl_module 即可用。
定义专用审计日志格式
在 http{} 块中定义结构清晰、字段可控的日志格式，例如：
log_format https_audit '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'$ssl_protocol/$ssl_cipher "$ssl_server_name" '
'$ssl_session_reused $request_time $upstream_response_time '
'$http_authorization $args';注意：$http_authorization 和 $args 含敏感信息，生产环境须脱敏（推荐用 log_by_lua_block 过滤 token、password 等）；HTTP 请求不会触发该格式，因变量为空，无需额外判断。
分离日志路径并限制作用域
避免审计日志混入常规访问日志，提升可查性与合规性：
- 只在 HTTPS
server{}块中启用：access_log /var/log/nginx/https-audit.log https_audit; - 禁用 HTTP server 块中的同名日志，防止空值污染
- 日志文件权限设为
640，属主为独立审计账号（如audit:nginx），禁止 worker 进程直接写入原始认证头或参数
增强上下文还原能力
单条日志价值有限，需叠加网络与行为维度构建可追溯链路：
- 启用
ngx_http_realip_module，通过set_real_ip_from声明可信上游（如云 LB 网段），确保$remote_addr是终端真实 IP - 后端服务或 SIEM 工具需依赖
X-Forwarded-For和X-Forwarded-Proto复原原始请求链路 - 将日志接入 ELK/Splunk，按
IP + User-Agent + $ssl_server_name + 时间窗口聚合，识别异常模式（如高频 SNI 域名探测、TLS 版本降级尝试、固定 cipher 集合集中访问）
