dast-automation

用途：面向操作者提供 Web 应用的动态安全测试，包括单域名黑盒外部扫描、提供凭证的灰盒（已认证）扫描、多域名并行扫描，以及持续/定时 DAST 与 CI/CD 回归拦截。触发语包括“run DAST”“blackbox scan”“greybox scan”“weekly security scan”等。\n\n主要能力：按阶段组织为侦察（nmap、whatweb、ffuf、subfinder、nuclei 等）、Playwright 爬取与认证、漏洞测试、报告输出。覆盖 XSS、SQLi、SSRF、路径遍历、CRLF 走私、JWT 攻击、业务逻辑与 IDOR 等测试类，附有对应 payloads 文件。输出遵循 schemas/finding.json，含 affected.url、parameter、payload、http_status、authenticated_as 及 Playwright 截图、trace、HAR 等证据字段。\n\n使用方式：先读取总入口文件，按决策树选择工作流：单域名无凭证用 workflows/blackbox_single_domain.md，有凭证用 workflows/greybox_authenticated.md，多域名一次性用 workflows/multi_domain_parallel.md，定时/CI 用 workflows/continuous_scanning.md。可通过 Task 工具派生子代理，多域名或按漏洞类划分，单次最多 5 并发；灰盒登录必须先于爬取，爬取必须先于 Nuclei endpoint overlay。CI 可参考 examples/github_actions_dast.yml。工具安装命令保持原样，如 apt install nmap、go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest、pip install jwt_tool。\n\n适用场景：单/多域名 Web 应用安全扫描、认证态测试、持续安全基线与回归阻断。\n\n限制：不适用于源码 SAST、依赖 CVE、容器镜像、IaC/K8s 配置审计、移动端运行时测试，也不适用于无 Web 界面的网络/主机加固审计。灰盒扫描要求 Playwright MCP 已配置且可达。最低版本要求为 Playwright ≥ 1.45、nuclei ≥ 3.2、sqlmap ≥ 1.8、ffuf ≥ 2.1、Python ≥ 3.12，验证日期为 2026-04。其他定价、平台支持等信息暂未提供。