要在 nginx 中记录客户端实际协商的 tls 协议版本和加密套件，核心是启用并正确使用 $ssl_protocol 和 $ssl_cipher 变量，需确保 nginx 编译含 --with-http_ssl_module，在 http{} 块定义含这两个变量的日志格式，并仅在 listen 443 ssl; 的 server 块中启用 access_log，且路径权限正确。
要在 Nginx 中记录客户端实际协商的 TLS 协议版本和加密套件，核心是启用并正确使用 `$ssl_protocol` 和 `$ssl_cipher` 这两个内置变量。它们只在启用了 SSL 的上下文中有效，不能直接用于 HTTP server 块。
确认 SSL 模块已启用
运行以下命令检查：
- nginx -V 2>&1 | grep --with-http_ssl_module —— 输出中必须包含该模块
- 若无输出，说明 Nginx 编译时未启用 SSL 支持，需重新编译并加入 --with-http_ssl_module
定义含 TLS 参数的日志格式
在 http{} 块中添加自定义格式（例如命名为 ssl_detail）：
log_format ssl_detail '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'$ssl_protocol/$ssl_cipher "$ssl_server_name" $ssl_session_reused';
- $ssl_protocol：如 TLSv1.3、TLSv1.2
- $ssl_cipher：如 ECDHE-ECDSA-AES128-GCM-SHA256
- $ssl_server_name：SNI 域名，反映客户端请求的目标站点
- $ssl_session_reused：显示 r（复用）或 .（新建），有助于分析 TLS 性能
在 HTTPS server 块中启用该日志
仅在明确声明 listen 443 ssl; 的 server{} 块内配置：
server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
<pre class="brush:php;toolbar:false;">access_log /var/log/nginx/ssl_access.log ssl_detail;}
- 确保日志路径目录存在，且 Nginx worker 进程有写权限（如 chown nginx:nginx /var/log/nginx）
- 不要把这条 access_log 指令放在 HTTP server（listen 80）中，否则变量值为空或显示短横线
验证是否生效
完成配置后执行：
- nginx -t 检查语法
- nginx -s reload 重载配置
- 用 curl 或浏览器访问 HTTPS 页面，再查看日志文件内容
- 正常条目类似：192.168.1.50 - - [29/Jul/2026:13:25:10 +0000] "GET / HTTP/1.1" 200 612 "" "curl/8.10.1" TLSv1.3/ECDHE-RSA-AES256-GCM-SHA384 "example.com" r
