用途：OWASP ZAP 是广泛使用的免费 Web 应用扫描器，面向渗透测试新手、开发者、功能测试人员以及自动化 CI/CD 流水线，用于对已部署的预发布应用执行自动化动态应用安全测试（DAST）。
主要能力：支持被动扫描与主动扫描。被动扫描检查代理请求与响应，不修改数据，可发现缺失安全头、不安全 Cookie、信息泄露等，适合生产环境；主动扫描注入恶意载荷（SQLi、XSS、路径遍历等）以发现可利用漏洞，会修改数据，仅限预发布环境。还支持自动爬虫与 API 模糊测试，可解析 OpenAPI/Swagger 规范发现未链接端点，并提供开源渗透测试替代方案。
使用方式：可通过 Docker 快速扫描，例如 docker run -t owasp/zap2docker-stable zap-baseline.py -t https://www.example.com。基线扫描示例：docker run -v $(pwd):/zap/wrk/:rw -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://staging.example.com -r zap_report.html。API 扫描示例：docker run -v $(pwd):/zap/wrk/:rw -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py -t https://staging.example.com/api/v1/swagger.json -f openapi -r api_security_report.html。支持 YAML 自动化框架声明式配置，包含 spider、activeScan、report 等作业。可在 GitHub Actions 中使用 zaproxy/action-baseline@v0.12.0。
适用场景：CI/CD 中的自动化 DAST、被动流量安全审计、自动爬虫与 API 模糊测试、开源渗透测试。
限制与注意：不要对生产环境运行主动扫描，以免破坏真实数据；不要仅依赖 DAST，应结合 SAST 与依赖扫描；不要扫描外部第三方服务，应限定在已验证的预发布域。扫描卡住时可排除登出 URL 或循环路径；认证失败可用桌面 UI 录制登录序列。具体收费、价格、平台与效果资料暂未提供。