OWASP ZAP 漏洞扫描代理

解决什么问题

Web 应用上线前或迭代中需要做动态应用安全测试（DAST），但 OWASP ZAP 本身的扫描流程涉及目标配置、扫描策略选择、报告导出与告警分析，把这些串进 CI/CD 或日常开发流程需要不少胶水代码。同时，ZAP 生成的告警往往数量庞大、混杂不同严重度，团队需要人工筛选哪些该修、修完再去 Jira 建单，这部分工作重复且容易遗漏。

工作原理

这个技能把 ZAP 的 API 封装成可调用的代理能力，核心流程分三步：

• 触发扫描：通过 OWASP ZAP API 对指定的 Web 应用发起自动化 DAST 扫描，无需手动操作 ZAP GUI。
• 解析与分诊：扫描完成后解析 ZAP 的 JSON 报告，按 CVSS 严重度对告警分级，把高危问题顶到前面。
• 流转工单：对需要处理的告警，通过 Jira REST API 生成修复工单，让安全问题直接进入现有研发流程。

适用边界与注意点

• 它做的是「扫描 + 分诊 + 建单」的自动化链路，不替代漏洞验证，误报仍需人工确认。
• DAST 扫描会对目标发起真实攻击流量，不要直接对生产环境或未授权目标运行。
• 上游文档提到存在一些 requirements 与 caveats，接入前建议先在测试环境验证扫描策略与告警阈值是否符合团队预期。