Nginx 实现 HTTPS 自动化审计的前提是启用 TLS 终止（SSL 卸载），通过配置 SSL 证书、专用审计日志格式、敏感字段脱敏（如 Authorization 和 args）、还原真实客户端 IP、接入 ELK/Splunk 分析异常行为，并严格管控日志权限与生命周期。
Nginx 本身不能对 HTTPS 流量做被动解密审计，所谓“自动化审计”在合规前提下，仅指在 TLS 终止点（即 Nginx 主动解密）处，对已还原的明文 HTTP 请求进行结构化记录、脱敏处理与行为分析。前提是流量必须由 Nginx 终止 TLS，而非透传。
必须启用 TLS 终止（SSL 卸载）
只有 Nginx 持有服务端证书私钥并完成完整 TLS 握手后，才能拿到原始请求内容。配置要点包括：
-
listen 443 ssl http2; - 正确指定
ssl_certificate和ssl_certificate_key（私钥权限必须为600） - 禁用
proxy_ssl_*类透传指令（如proxy_ssl_protocols），避免误配成反向代理中继模式 - 确保客户端直连 Nginx，或上游（如 CDN）已关闭 TLS 代理/转发
定义专用 HTTPS 审计日志格式
在 http{} 块中声明含 TLS 协商与业务字段的日志格式：
log_format https_audit '$remote_addr - $remote_user [$time_local] ' '"$request" $status $body_bytes_sent ' '"$http_referer" "$http_user_agent" ' '$ssl_protocol/$ssl_cipher "$ssl_server_name" ' '$ssl_session_reused $request_time $upstream_response_time ' '$http_authorization $args';
关键变量说明：
-
$ssl_protocol、$ssl_cipher：验证是否使用 TLSv1.2+ 与强加密套件 -
$ssl_server_name：识别 SNI 域名，用于白名单或异常域名检测 -
$ssl_session_reused：辅助判断客户端连接行为（如高频新建会话可能为扫描） -
$http_authorization和$args：需脱敏，不可原样落盘
对敏感字段强制脱敏
直接记录 Authorization 头或查询参数存在合规风险，推荐用 log_by_lua_block 过滤：
log_by_lua_block {
local auth = ngx.var.http_authorization or ""
if auth:match("Bearer%s+[a-zA-Z0-9_\-]+%.") then
ngx.var.http_authorization = "Bearer <redacted>"
end
local args = ngx.var.args or ""
if args:match("password=") or args:match("token=") then
ngx.var.args = ngx.re.sub(args, "(password|token)=[^&]*", "%1=<redacted>")
end
}确保 Lua 模块已启用（编译时含 --with-http-lua-module）。
还原真实客户端上下文
单靠 $remote_addr 不可靠，尤其在有负载均衡或 CDN 场景下：
- 启用
ngx_http_realip_module，通过set_real_ip_from声明可信上游网段（如10.0.0.0/8或云厂商 LB IP 段） - 配置
real_ip_header X-Forwarded-For;和real_ip_recursive on; - 在 upstream 或后端服务中，依赖
X-Forwarded-For和X-Forwarded-Proto复原原始链路
接入分析系统实现自动化
日志本身只是数据源，自动化审计依赖下游处理：
- 将
/var/log/nginx/https-audit.log接入 ELK 或 Splunk，建立索引字段（如ssl_protocol,uri_path,user_agent） - 设置规则识别异常模式：
- 同一 IP 5 分钟内
status=401超过 10 次 → 可能暴力认证 -
args中出现union select、sleep(、%27%20or%201%3D1→ SQL 注入试探 -
ssl_protocol为TLSv1.0或SSLv3→ 协议降级风险
- 同一 IP 5 分钟内
- 关联
X-Response-ID（若后端注入）与upstream_response_time，定位慢请求源头
安全与权限最小化控制
开启审计能力即承担数据责任：
- 审计日志路径属主设为专用账号（如
audit:nginx），权限严格限制为640 - 禁止 nginx worker 进程直接写入含原始
Authorization或args的日志文件 - 定期轮转并加密归档（如用
logrotate+gpg），保留周期符合等保或 GDPR 要求
不复杂但容易忽略
