Apache SSL虚拟主机日志需在<VirtualHost *:443>块内配置LogFormat和CustomLog，使用%{SSL_PROTOCOL}x、%{SSL_CIPHER}x、%{SSL_CIPHER_USEKEYSIZE}x记录协议、套件及密钥位数，并为各站点单独设置ErrorLog路径以隔离错误。
为 Apache 配置 SSL 虚拟主机的日志记录，核心是让访问日志能体现 TLS 协商结果（如协议版本、加密套件、密钥位数），同时确保错误日志按站点隔离、可追溯。这需要两部分配合：一是启用并正确使用 mod_ssl 提供的会话变量，二是把日志指令明确写在 HTTPS 虚拟主机块内。
确认 mod_ssl 已启用且 HTTPS 主机配置完整
SSL 日志变量（如 %{SSL_PROTOCOL}x）只有在 TLS 握手成功后才可用。若未加载模块或虚拟主机未启用 SSL，这些字段会为空或显示短横线（-）。
- 运行
httpd -M | grep ssl（RHEL/CentOS）或a2enmod ssl && systemctl restart apache2（Debian/Ubuntu），确保ssl_module已加载 - 检查 HTTPS 虚拟主机中是否包含：
SSLEngine onSSLCertificateFile /path/to/cert.pemSSLCertificateKeyFile /path/to/key.pem - 日志相关指令（
LogFormat、CustomLog）必须放在<VirtualHost *:443>块内，或全局定义后在该块中调用
添加 SSL 相关字段到访问日志格式
Apache 通过 %{}x 语法读取 OpenSSL 会话信息。常用字段包括：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
%{SSL_PROTOCOL}x→ 实际协商的协议，例如TLSv1.2或TLSv1.3 -
%{SSL_CIPHER}x→ 完整密码套件名，例如ECDHE-ECDSA-AES128-GCM-SHA256 -
%{SSL_CIPHER_USEKEYSIZE}x→ 对称加密实际使用的密钥位数，例如128或256 -
%{SSL_SECURE_RENEG}x→ 是否启用安全重协商（secure或unsafe）
示例配置（写入虚拟主机配置中）：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{SSL_CIPHER_USEKEYSIZE}x" ssl_combinedCustomLog /var/log/apache2/ssl-access.log ssl_combined
为每个 SSL 虚拟主机配置独立错误日志
ErrorLog 不记录 HTTP 状态码，但会捕获 SSL 层关键问题：证书过期、SNI 不匹配、协议不支持、私钥读取失败等。为避免混杂，应为每个 HTTPS 站点单独指定路径：
- 在
<VirtualHost *:443>块内添加：ErrorLog /var/log/apache2/example-com-error.log - 提前创建目录并赋权：
sudo mkdir -p /var/log/apache2sudo chown www-data:www-data /var/log/apache2（Debian/Ubuntu）
或sudo chown apache:apache /var/log/apache2（RHEL/CentOS） - 建议增强可读性，在
ErrorLogFormat中加入%v（虚拟主机名）和%{UNIQUE_ID}e，便于关联请求与错误上下文
验证与排查常见空值问题
如果日志末尾出现 - - - 或字段全为空，通常不是配置语法错误，而是握手未到达日志阶段：
- 该请求走的是 HTTP（
*:80），而非 HTTPS；检查是否漏配重定向或客户端直连了非加密端口 - TLS 握手失败（如客户端只支持 TLS 1.0，而服务器已禁用），此时请求根本不会进入 Apache 请求处理流程，
%{}x变量不可用 - 日志格式定义在 HTTP 虚拟主机里，或未被 HTTPS 块引用；确保
CustomLog明确出现在<VirtualHost *:443>内 - 排查握手失败原因，请查看对应
ErrorLog并临时设置：LogLevel ssl:debug（仅调试时启用，生产环境建议ssl:warn）
