用途：在 CI/CD 流水线中集成 OWASP ZAP 进行动态应用安全测试（DAST），检测运行中 Web 应用的 XSS、SQLi、CSRF 与配置错误等漏洞。适用于 SAST 不足、需运行时行为测试、合规要求上线前动态测试、测试 REST/GraphQL API 的认证授权与注入缺陷，以及在预发布环境建立持续 DAST 扫描。不适用于源码扫描（用 SAST）、依赖扫描（用 SCA）或基础设施配置扫描（用 IaC 工具）。
主要能力：提供 ZAP 基线扫描（被动、快速，适合 CI）、全量扫描（主动攻击载荷）、API 扫描（基于 OpenAPI/Swagger 规范）三种模式，并支持通过 rules.tsv 配置规则动作（IGNORE/WARN/FAIL）实现质量门禁。
使用方式：在 GitHub Actions 中使用 zaproxy/action-baseline、action-full-scan、action-api-scan 等 Action，指定 target、rules_file_name 与 cmd_options；也可用 Docker Compose 本地运行 zap-baseline.py。示例命令：zap-baseline.py -t http://webapp:8080 -r /zap/wrk/report.html -J /zap/wrk/report.json -c /zap/wrk/rules.tsv -I。
适用场景：预发布部署后触发 DAST 作业，先跑基线扫描获取快速反馈，再用 OpenAPI 规范做 API 扫描，将报告作为流水线产物上传，FAIL 级发现阻断生产部署，并定期对预发布环境执行全量扫描。
限制：全量扫描可能耗时 30 分钟以上并给预发布服务器带来攻击流量压力，建议 CI 用基线、全量按计划执行；未经协调对生产运行 DAST 可能触发 WAF 拦截与告警。资料未提供具体收费、价格或平台支持范围。