用途：基于开源 DAST 工具 OWASP ZAP 对 Web 应用与 API 进行运行时安全测试，ZAP 以中间人代理方式拦截、检查流量并检测安全漏洞。
主要能力：提供自动化被动扫描与主动扫描、API（REST/GraphQL/SOAP）测试，以及 CI/CD 集成。被动扫描可检测缺失安全头（CSP、HSTS、X-Frame-Options）、响应信息泄露、Cookie 安全（HttpOnly、Secure）、基础认证弱点与应用指纹；主动扫描覆盖 SQL 注入、XSS、路径遍历、命令注入、XXE、SSRF、安全配置错误等，需授权后方可执行。
使用方式：通过 ZAP 官方 Docker 镜像运行内置脚本。被动基线扫描：docker run -t zaproxy/zap-stable zap-baseline.py -t https://target-app.com -r baseline-report.html。完整主动扫描：docker run -t zaproxy/zap-stable zap-full-scan.py -t https://target-app.com -r full-scan-report.html。API 扫描示例：docker run -v $(pwd):/zap/wrk/:rw -t zaproxy/zap-stable zap-api-scan.py -t https://api.target.com -f openapi -d /zap/wrk/openapi-spec.yaml -r /zap/wrk/api-report.html。支持表单、HTTP Basic/Digest、OAuth 2.0、API 密钥/令牌及脚本自定义认证，并可用 GitHub Actions（zaproxy/action-baseline）或 YAML 自动化框架集成。报告支持 HTML、JSON、XML 等格式。
适用场景：提交/PR 的基线扫描、生产部署前对预发布环境的完整扫描、微服务与 REST 端点 API 扫描、以及作为部署流水线的安全门禁。
限制：主动扫描会发起真实攻击，必须获得明确书面授权，仅可针对已授权应用；需遵守相关法律，未授权扫描可能违法。扫描可能触发速率限制或 WAF 拦截，需调整速度。DAST 工具会产生误报，需人工复核。应避免在配置中写入生产凭据，分享报告前需脱敏。具体收费、价格与效果资料暂未提供。