OWASP ZAP 安全审计

解决什么问题

在做 Web 应用安全测试时，人工打开 ZAP GUI 抓包、点扫描、整理告警往往打断研发流程。该技能把 OWASP ZAP API 包成可脚本化入口，让安全测试能跟 CI、预发布检查或专项审计走同一条流水线。

它如何工作

• 输入待测站点或接口范围，先通过 spider crawl 和 ajax spider endpoints 发现可访问路径。
• 调用 active scan 对目标发起主动探测，收集 ZAP 产生的安全问题。
• 输出结构化 findings 报告，并把每条问题关联到 CWE 分类 与 OWASP Top 10 类别映射。
• 适合把结果沉淀到漏洞库、告警看板或评审清单中。

适用边界与注意点

• 只应在有授权的测试环境使用；主动扫描会产生真实请求，可能影响线上服务。
• 结果依赖 ZAP 规则、爬取覆盖范围和目标应用的可探测性，Ajax 路由复杂时仍需人工确认。
• 上游使用要求和限制需以 SKILL.md、https://github.com/1991513ccie-png/skills 及 ZAP 官方文档为准。