用途：使用开源 DAST 工具 OWASP ZAP（Zed Attack Proxy）作为中间人代理，拦截、检查并测试 Web 应用流量，发现运行时安全漏洞，覆盖被动扫描、主动扫描与 API 测试。
主要能力：被动扫描可检测缺失安全响应头（CSP、HSTS、X-Frame-Options）、响应信息泄露、Cookie 安全标志、基础认证弱点与应用指纹；主动扫描覆盖 SQL 注入、XSS、路径遍历、命令注入、XXE、SSRF 及安全配置错误。支持 OpenAPI/Swagger、GraphQL、SOAP 等 API 测试，支持表单、Basic/Digest、OAuth 2.0、API 密钥/令牌及脚本自定义认证。报告可输出 HTML、JSON、XML、Markdown、SARIF 等格式，并按高/中/低/信息四级风险归类，可映射 OWASP Top 10 与 CWE。
使用方式：通过 Docker 运行，例如基线扫描 docker run -t zaproxy/zap-stable zap-baseline.py -t https://target-app.com -r baseline-report.html；完整主动扫描使用 zap-full-scan.py；API 扫描使用 zap-api-scan.py 并挂载工作目录与规范文件。可集成 GitHub Actions、GitLab CI、Jenkins 等，并可用 YAML 自动化框架（zap.sh -cmd -autorun）配置爬虫、扫描策略与报告。
适用场景：CI/CD 安全门禁、预发布环境回归测试、微服务与 REST/GraphQL 接口测试、渗透测试准备。
限制与注意：主动扫描会发起真实攻击，必须获得明确书面授权；需配置速率限制避免触发 WAF 或 DDoS 防护；凭据应使用环境变量或密钥管理，报告分享前需脱敏；DAST 存在误报，需人工验证。具体收费、价格与平台支持情况暂未提供。