OWASP ZAP API 安全审计器

解决什么问题

当团队把 API 从“能跑”推进到“要过安全评审”时，常见的痛点是：扫描链路靠手工拼脚本，REST 和 GraphQL 两种入口各自维护一套流程，报告能给出告警却很难映射到 CWE，也缺少落到 WAF 侧的处置建议。这个技能把 OWASP ZAP 的主动与被动扫描能力封装成可重复执行的审计步骤。

它如何工作

技能围绕 ZAP 的 Python API 客户端展开，核心流程可以概括为：

• 面向 REST 与 GraphQL 端点组织扫描，分别利用被动检查发现可见流量中的问题，并用主动扫描补充攻击面验证。
• 将扫描结果整理为 DAST 报告，并在报告中做 CWE 映射，方便工程团队按弱点类别而不是单条告警来排优先级。
• 基于审计结论提出 WAF 规则配置 建议，让安全修复不止停留在“发现问题”，也能推进到防护策略落地。

适用边界

它适合已经把 ZAP 当作 DAST 工具链一部分、需要把 API 审计流程脚本化的场景。技能文档抽取自上游仓库与 ZAP 官方 README，实际使用时应回到上游说明确认环境要求与已知注意事项；扫描策略、目标授权和误报处理仍需由使用者结合自身系统来校准。