apache ssl虚拟主机日志需在块内配置logformat和customlog，使用%{ssl_protocol}x、%{ssl_cipher}x、%{ssl_cipher_usekeysize}x记录协议、套件及密钥位数，并为各站点单独设置errorlog路径以隔离错误。
为 Apache 配置 SSL 虚拟主机的日志记录，核心是让访问日志能体现 TLS 协商结果（如协议版本、加密套件、密钥位数），同时确保错误日志按站点隔离、可追溯。这需要两部分配合：一是启用并正确使用 mod_ssl 提供的会话变量，二是把日志指令明确写在 HTTPS 虚拟主机块内。
确认 mod_ssl 已启用且 HTTPS 主机配置完整
SSL 日志变量（如 %{SSL_PROTOCOL}x）只有在 TLS 握手成功后才可用。若未加载模块或虚拟主机未启用 SSL，这些字段会为空或显示短横线（-）。
- 运行
httpd -M | grep ssl（RHEL/CentOS）或a2enmod ssl && systemctl restart apache2（Debian/Ubuntu），确保ssl_module已加载 - 检查 HTTPS 虚拟主机中是否包含：
SSLEngine onSSLCertificateFile /path/to/cert.pemSSLCertificateKeyFile /path/to/key.pem - 日志相关指令（
LogFormat、CustomLog）必须放在<virtualhost></virtualhost>块内，或全局定义后在该块中调用
添加 SSL 相关字段到访问日志格式
Apache 通过 %{}x 语法读取 OpenSSL 会话信息。常用字段包括：
-
%{SSL_PROTOCOL}x→ 实际协商的协议，例如TLSv1.2或TLSv1.3 -
%{SSL_CIPHER}x→ 完整密码套件名，例如ECDHE-ECDSA-AES128-GCM-SHA256 -
%{SSL_CIPHER_USEKEYSIZE}x→ 对称加密实际使用的密钥位数，例如128或256 -
%{SSL_SECURE_RENEG}x→ 是否启用安全重协商（secure或unsafe）
示例配置（写入虚拟主机配置中）：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{SSL_CIPHER_USEKEYSIZE}x" ssl_combinedCustomLog /var/log/apache2/ssl-access.log ssl_combined
为每个 SSL 虚拟主机配置独立错误日志
ErrorLog 不记录 HTTP 状态码，但会捕获 SSL 层关键问题：证书过期、SNI 不匹配、协议不支持、私钥读取失败等。为避免混杂，应为每个 HTTPS 站点单独指定路径：
- 在
<virtualhost></virtualhost>块内添加：ErrorLog /var/log/apache2/example-com-error.log - 提前创建目录并赋权：
sudo mkdir -p /var/log/apache2sudo chown www-data:www-data /var/log/apache2（Debian/Ubuntu）
或sudo chown apache:apache /var/log/apache2（RHEL/CentOS） - 建议增强可读性，在
ErrorLogFormat中加入%v（虚拟主机名）和%{UNIQUE_ID}e，便于关联请求与错误上下文
验证与排查常见空值问题
如果日志末尾出现 - - - 或字段全为空，通常不是配置语法错误，而是握手未到达日志阶段：
- 该请求走的是 HTTP（
*:80），而非 HTTPS；检查是否漏配重定向或客户端直连了非加密端口 - TLS 握手失败（如客户端只支持 TLS 1.0，而服务器已禁用），此时请求根本不会进入 Apache 请求处理流程，
%{}x变量不可用 - 日志格式定义在 HTTP 虚拟主机里，或未被 HTTPS 块引用；确保
CustomLog明确出现在<virtualhost></virtualhost>内 - 排查握手失败原因，请查看对应
ErrorLog并临时设置：LogLevel ssl:debug（仅调试时启用，生产环境建议ssl:warn）
