| 形态 | 桌面版 / 命令行脚本 / API |
|---|---|
| 基线 | zap-baseline.py 以被动检查为主 |
| 范围 | Context 限定域名与登录态 |
| 报告 | -r 输出 HTML 报告 |
基线扫描示例
基线扫描示例
docker run --rm zaproxy/zap-stable zap-baseline.py -t https://example.com
# 桌面版流程：Context 定义范围 → 配置认证 → 被动扫描 → 按需主动扫描认证扫描需准备专用测试账号；主动扫描前先评估环境影响面。
OWASP ZAP 使用要点
ZAP 是开源 Web 代理与扫描器：桌面版适合手工与主动扫描组合；自动化脚本（如 zap-baseline）便于例行基线检查，范围与认证需单独配置。
易错点
- 未定义 Context 就全站主动扫描
- 自动化脚本未配置认证导致业务面漏报
数据来源与参考
- OWASP ZAP 官方文档（基线扫描与 Context）