要在 nginx 日志中记录完整 https 加密协议信息，需组合使用 $ssl_protocol、$ssl_cipher、$ssl_server_name、$ssl_session_reused 等真实 tls 握手变量，定义专用 log_format 并仅在 listen 443 ssl 的 server 块中启用 access_log。
要在 Nginx 日志中记录完整的 HTTPS 加密协议信息，关键不是“开启某个开关”，而是把几个真实反映 TLS 握手结果的内置变量组合进专用日志格式，并严格限定该格式只用于实际处理 HTTPS 的 server 块。
必须用对的变量
Nginx 提供一组只在 SSL 握手完成后才被赋值的变量，它们不可伪造、不依赖配置声明，而是来自真实连接：
- $ssl_protocol：显示最终协商的 TLS 版本，如 TLSv1.3 或 TLSv1.2
- $ssl_cipher：显示实际选用的加密套件，如 TLS_AES_256_GCM_SHA384（TLS 1.3）或 ECDHE-RSA-AES256-GCM-SHA384（TLS 1.2）
- $ssl_server_name：客户端通过 SNI 发送的目标域名，用于识别虚拟主机
- $ssl_session_reused：值为 r（复用）或 .（新建），反映会话复用效率
定义专用日志格式
在 http{} 块顶部添加自定义格式，推荐使用竖线或空格分隔，便于后续解析：
log_format ssl_full '$time_iso8601|$remote_addr|$ssl_protocol|$ssl_cipher|$ssl_server_name|$ssl_session_reused|$request_method|$uri|$status|$bytes_sent|$request_time|"$http_user_agent"';
这个格式聚焦核心安全参数，时间戳用 ISO 标准，字段间用竖线分隔，避免日志内容内部出现歧义空格。
只在 HTTPS server 块中启用
切勿把 access_log 指令写在 http{} 块或监听 80 端口的 server 块里。它必须且只能出现在明确启用 SSL 的块中：
server {<br> listen 443 ssl;<br> server_name example.com;<br> ssl_certificate /path/to/fullchain.pem;<br> ssl_certificate_key /path/to/privkey.pem;<br> access_log /var/log/nginx/ssl-full.log ssl_full;<br>}
注意：listen 443 ssl; 中的 ssl 关键字不可省略——缺了它，所有 $ssl_* 变量都会为空或显示短横线。
验证是否真正生效
配置完成后执行两步检查：
- 运行
nginx -t确认语法无误 - 执行
nginx -s reload重载配置 - 用 curl 或浏览器访问一次 HTTPS 地址，再查看日志：
tail -n 1 /var/log/nginx/ssl-full.log
正常输出应类似：2026-08-21T02:55:33+0000|203.0.113.42|TLSv1.3|TLS_AES_256_GCM_SHA384|example.com|r|GET|/|200|1528|0.012|"curl/8.10.1"
如果 tls= 后为空或全是短横线，优先检查 listen 行是否漏了 ssl，以及 access_log 是否误放在了 HTTP server 块中。
