技能介绍

它解决什么问题

API 功能迭代快，契约测试通常只验证响应结构，未必覆盖安全。REST 与 GraphQL 服务的参数、路径、鉴权头、跨域策略一旦变动，可能出现注入缺陷、认证失效、CORS 配置过宽。人工黑盒测试容易遗漏边界参数和组合场景；该技能将 OWASP ZAP 的 DAST 能力接入自动化流程，用于在可接触目标环境中发现常见问题并生成修复线索。

技能如何工作

通过 OWASP ZAP daemon API 驱动扫描，不要求使用者手工点击 ZAP UI。
面向 REST 与 GraphQL API 发起自动化 DAST 请求，覆盖注入缺陷、broken authentication、CORS misconfigurations。
对命中的问题给出详细 remediation steps，便于开发者定位参数校验、认证边界或跨域响应头。
可放入 CI 或预发布流水线，对接口变更做阶段性安全回归；具体扫描范围、规则强度和目标授权需由使用者配置。

适用边界与注意点

它适合有明确 endpoint、认证方式和测试环境的 API；对 SOAP、gRPC、文件上传或强状态流程的覆盖有限。DAST 是黑盒视角，不能替代代码审计、依赖漏洞扫描和人工威胁建模。误报与漏报取决于目标可达性、auth context、rate limiting、ZAP rules 和 GraphQL introspection 设置。运行前确认目标已获授权，并保护扫描日志中的 token、cookie 和敏感响应。上游文档见 Source: https://github.com/1991513ccie-png/skills 与 Extracted docs: https://raw.githubusercontent.com/zaproxy/zaproxy/HEAD/README.md；安装提示词不在本字段展开。