OpenResty/Nginx 本身不解析 TLS，$proxy_protocoltlv* 变量仅能被动读取上游代理（如 HAProxy）注入的 PROXYv2 TLV 数据，如 SNI（0x06）、ALPN（0x07）等；需上游启用 send-proxy-v2-ssl 且 Nginx listen 配置 proxy_protocol，否则变量为空。
OpenResty（或 Nginx）本身并不原生支持通过 $proxy_protocol_tlv_* 变量直接提取 TLS 握手阶段的元数据（如 ALPN、SNI、Client Hello 里的扩展字段），因为 PROXY protocol v2 的 TLV（Type-Length-Value）扩展仅用于携带**连接层元信息**（如客户端真实 IP、端口、SSL 协商结果等），而这些字段必须由上游代理（如 HAProxy、Envoy、Cloudflare Spectrum）在建立 TCP 连接后、TLS 握手前，主动解析 Client Hello 并将关键字段以标准 TLV 类型写入 PROXYv2 header。
也就是说：能否用 $proxy_protocol_tlv_* 提取 SSL 元数据，完全取决于上游代理是否做了 TLS 解析 + TLV 注入，Nginx/OpenResty 本身不解析 TLS 流量，也不生成这些变量。它只是被动读取 PROXYv2 header 中已存在的 TLV 块。
确认上游是否真正透传了 TLS 相关 TLV
PROXY protocol v2 定义了若干标准 TLV type，与 TLS 相关的有：
-
0x06 — SNI（Server Name Indication），value 是 UTF-8 字符串，如
example.com -
0x07 — ALPN（Application-Layer Protocol Negotiation），value 是长度前缀的二进制列表，如
\x02h2\x08http/1.1 - 0x08 — Client Certificate（可选，通常不启用）
-
0x09 — TLS version（如
\x03\x04表示 TLS 1.3） -
0x0A — Cipher suite（如
\x13\x02表示 TLS_AES_256_GCM_SHA384）
只有当上游代理（如 HAProxy 2.5+ 启用 send-proxy-v2-ssl）在 PROXYv2 header 中写入了这些 TLV，Nginx 才能通过内置变量访问：
log_format tlv_log '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'sni="$proxy_protocol_tlv_06" alpn="$proxy_protocol_tlv_07"';
<p>access_log /var/log/nginx/tls_info.log tlv_log;
在 OpenResty 中安全使用 $proxy\_protocol\_tlv\_ 变量
这些变量是“惰性解析”的：只有在首次引用时才从 PROXYv2 header 中提取对应 TLV。需注意：
- 变量名严格为
$proxy_protocol_tlv_XX（XX 是两位十六进制，小写，如_06、_07），不支持_6或_6a - 若 TLV 不存在，变量值为空字符串（不是未定义），可用
if ($proxy_protocol_tlv_06 != "") { ... }判断 - ALPN（
_07）值是二进制格式，含长度前缀；直接记录日志可能乱码，建议用 Lua 解析：
set_by_lua_block $alpn_list {
local tlv = ngx.var.proxy_protocol_tlv_07
if not tlv or #tlv == 0 then return "" end
local i, res = 1, {}
while i <= #tlv do
local len = string.byte(tlv, i)
i = i + 1
table.insert(res, string.sub(tlv, i, i + len - 1))
i = i + len
end
return table.concat(res, ",")
}
常见失败原因与验证方法
如果 $proxy_protocol_tlv_06 始终为空，请检查：
- 上游代理是否启用 PROXYv2 + SSL TLV：HAProxy 需
send-proxy-v2-ssl；Envoy 需transport_socket.tls+use_proxy_proto: true并配置additional_transport_socket_options - Nginx 是否启用 PROXY protocol：listen 指令必须带
proxy_protocol，如listen 443 ssl proxy_protocol; - 连接是否走对端口：PROXY protocol 必须在 TCP 层透传，不能被中间 NAT、四层 LB 截断或降级为 PROXYv1
- 用
tcpdump抓包验证：过滤tcp port 443 and tcp[((tcp[12:1] & 0xf0) >> 2) : 2] == 0x0d0a查 PROXYv2 signature，再看后续是否有06/07TLV
替代方案：无法依赖 TLV 时怎么办
若上游不支持或不愿注入 TLV，又必须获取 SNI/ALPN，可行路径有：
-
前置 TLS 终结：让 HAProxy/Envoy 做 TLS termination，把 SNI/ALPN 作为 HTTP header（如
X-Ssl-Sni）或 custom log field 透传给 Nginx -
OpenResty + ssl_preread：启用
stream { server { ssl_preread on; set $sni $ssl_preread_server_name; ... } }—— 但此方式要求 Nginx 自己做 TLS 握手前置解析，无法与http块共享变量，且不支持 ALPN 提取 - 自定义 PROXYv2 解析模块：用 Lua 编写 stream 阶段 parser（较重，一般不推荐）
