用途：对已部署、正在运行的应用做动态安全测试，发现运行时漏洞，验证认证流程与 API 安全。前提是目标应用实例可运行，测试者需有网络访问与明确授权，并了解 Web 安全基础。
主要能力：工具涵盖 OWASP ZAP（开源，适合自动化扫描与 CI）、Burp Suite（商业，适合手动与高级测试）、Nikto（开源，Web 服务器扫描）、Nuclei（开源，模板化扫描）、Arachni（开源，综合扫描）。ZAP 支持基线扫描、全量扫描、API 扫描（如 OpenAPI 规范）及基于 YAML 的自动化框架，可定义上下文、认证、用户与 spider、passiveScan-wait、activeScan、report 等作业。Burp 可通过 REST API 创建扫描、查询状态与问题。Nikto 提供基本扫描与端口指定、输出 HTML 报告。
使用方式：ZAP 可用 Docker 运行，如 zap-baseline.py -t https://target.example.com -r baseline-report.html；全量扫描用 zap-full-scan.py，API 扫描用 zap-api-scan.py，自动化用 zap.sh -cmd -autorun /zap/wrk/zap-automation.yaml。Nikto 用法如 nikto -h https://target.example.com。CI/CD 可集成 GitHub Actions（zaproxy/action-full-scan）或 GitLab CI，把扫描放在 security 阶段并保留报告工件。
适用场景：部署后测试、定时自动扫描、认证流程验证、API 安全校验、安全回归与报告归档。
限制与常见问题：扫描器可能出现误报，需人工复核并配置扫描策略；未认证时无法覆盖受保护区域，需配置认证上下文或会话令牌；覆盖率可能不足，可导入 API 规范、改进爬取并使用认证扫描。建议先在预发布环境测试，配置正确认证，导入 API 规范，结合手动测试，至少每周定期扫描并长期跟踪结果，且需与开发团队协作。以上为资料给出的内容，收费、价格与具体效果暂未提供。