需在listen 443 ssl http2的server块中定义含$ssl_protocol、$ssl_cipher、$http2等变量的自定义log_format并启用access_log，确保ngx_http_ssl_module已编译启用，且双向认证等依赖配置正确。
要让 Nginx 记录 HTTPS 连接的详细参数和协议状态（如 TLS 版本、加密套件、客户端证书信息、HTTP/2 使用情况等），需结合日志模块的变量与 SSL 相关指令配置，不能仅依赖默认 access_log。
启用并扩展 Nginx 日志格式
Nginx 默认日志不包含 TLS 和连接层信息。需自定义 log_format，使用内置 SSL 变量：
- $ssl_protocol：实际协商的 TLS 协议版本（如 TLSv1.3、TLSv1.2）
- $ssl_cipher：所选加密套件（如 ECDHE-ECDSA-AES256-GCM-SHA384）
- $ssl_session_reused：会话是否复用（"r" 表示复用，"." 表示新建）
- $ssl_client_cert：原始 PEM 格式客户端证书（通常过长，建议记录摘要或开关状态）
- $ssl_client_verify：证书验证结果（SUCCESS、FAILED:xxx、NONE）
- $http2：是否使用 HTTP/2（"h2" 表示是，空值表示 HTTP/1.1）
示例配置：
log_format ssl_detail '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'$ssl_protocol/$ssl_cipher '
'http2=$http2 '
'session_reused=$ssl_session_reused '
'client_verify=$ssl_client_verify';然后在 server 或 http 块中应用：access_log /var/log/nginx/ssl_access.log ssl_detail;
确保 SSL 模块功能可用
这些变量依赖 Nginx 的 ngx_http_ssl_module，编译时必须启用（主流发行版默认已开启）。可通过以下命令确认：
nginx -V 2>&1 | grep -o with-http_ssl_module
若无输出，需重新编译或更换包源。另外，$ssl_client_cert 仅在配置了 ssl_client_certificate 和 ssl_verify_client on 后才可能非空；若未启用双向认证，该字段为空。
记录更底层连接信息（可选）
如需记录 TCP 层信息（如客户端真实端口、服务端监听端口、连接耗时），可补充以下变量：
- $server_port：Nginx 实际监听的 HTTPS 端口（如 443）
- $remote_port：客户端发起连接的源端口
- $request_time：整个请求处理时间（秒，精度毫秒）
- $upstream_response_time：后端响应耗时（如代理场景）
注意：$request_time 包含 SSL 握手时间（从 TCP 连接建立开始计时），可用于分析 TLS 性能瓶颈。
调试与验证日志输出
配置完成后，重载 Nginx 并发起 HTTPS 请求（推荐用 curl 强制指定 TLS 版本测试）：
curl -k --tlsv1.2 https://example.com/ curl -k --tlsv1.3 https://example.com/ curl -k --ciphers ECDHE-RSA-AES128-GCM-SHA256 https://example.com/
检查日志是否输出对应协议、套件和 http2 字段。若字段为空，常见原因有：
– 未在 server 块中启用 listen 443 ssl http2;
– SSL 配置错误导致降级为 HTTP/1.1
– 日志格式未在正确的 server 块中引用
