OWASP ZAP 自动化扫描编排器

要解决的问题

手工跑 OWASP ZAP 的体验并不好：先拉起 Docker 容器，再翻 API 文档拼请求，扫完之后还要在 HTML 报告里翻找结论。放到 CI 流水线里更难——没人愿意每次提交都开一个 GUI 手动点一遍。结果要么是扫描缺失，要么是报告没人读，漏洞就这么漏过去了。

这个技能要自动化的正是这条链路：从给定的目标 URL 出发，直接调用 ZAP 的 Docker API 发起主动与被动扫描，扫描结束后解析 ZAP 输出的 JSON 报告，把 XSS、SQLi、CSRF 这类漏洞提取成结构化结论，并附带严重程度评分，方便下游（CI 门禁、工单、通知）直接消费，而不必再人工打开报告逐条核对。

核心能力

• 双模式扫描：被动扫描不主动发送攻击载荷，适合日常巡检；主动扫描会注入测试请求，适合版本发布前的深度检查。
• 基于 Docker API：全程不依赖 ZAP 的图形界面，所有交互都是 API 调用，天然可脚本化、可被上层编排。
• 结构化报告解析：直接解析 ZAP 的 JSON 报告，而不是让人去读 HTML 或 PDF。
• 明确的漏洞覆盖范围：标记 XSS、SQLi、CSRF 三类漏洞，并给出严重程度评分。

关键步骤

1. 提供目标 URL 清单。
2. 技能通过 ZAP Docker API 发起主动或被动扫描。
3. 等待扫描完成后获取 JSON 报告。
4. 解析报告并提取漏洞条目。
5. 按严重程度对 XSS、SQLi、CSRF 问题评分并输出结论。

适用边界与注意点

• 明确覆盖的是 XSS、SQLi、CSRF 三类；SSRF、XXE、反序列化等问题不保证出现在结论里，不要默认“没报”等于“全测了”。
• 主动扫描会产生真实的攻击流量，只应对你有权测试的目标使用。未经授权的扫描在多数地区属于违法行为。
• 严重程度评分来自 ZAP 自身的判定逻辑，高分不一定等于可利用，关键结论仍需人工复核确认。
• 扫描能力依赖上游 ZAP 本体，技能文档亦取自上游 README；遇到行为异常时，建议对照上游资料排查。