用途
dast-config 提供一套结构化、可重复的流程，用于依据 OWASP Top 10:2021 和 OWASP Testing Guide v4.2（WSTG）审查动态应用安全测试（DAST）工具的配置。适用于初始 DAST 部署与扫描策略配置、审查 CI/CD 流程中已有的 DAST 集成、认证扫描的设置或排障、API 安全测试配置（REST、GraphQL）、DAST 结果的分诊工作流设计，以及需要动态测试证据的合规审计（如 PCI DSS 6.3.2、SOC 2）。
主要能力
配置发现：使用 Glob 与 Grep 定位 DAST 工具配置、扫描策略与 CI 集成，涵盖 ZAP、Burp Suite、Nuclei 等工具，并按工具、扫描类型（基线/全量/API）、集成方式（CI/CD、计划、手动）分类。
ZAP 扫描策略审查：验证 ZAP Automation Framework 计划结构，包括上下文 URL 是否指向目标环境（如 staging 而非生产）、includePaths 限制扫描目标、excludePaths 阻止破坏性操作（logout、delete、destroy 端点）、认证是否配置验证正则、凭据是否使用环境变量替换、failOnError 是否设置、爬虫深度与时长限制、主动扫描最大时长、报告格式是否可机器解析（JSON 或 SARIF）。技能中列出了应启用的被动扫描规则（如 Cookie No HttpOnly Flag、Cookie Without Secure Flag、X-Frame-Options Header、Strict-Transport-Security Header 等）及其对应的 OWASP Top 10 与 WSTG 编号，以及覆盖 OWASP Top 10 的主动扫描规则（如 SQL Injection、XSS Reflected/Persistent、OS Command Injection、SSTI、SSRF 等）。
API 扫描配置：支持通过 OpenAPI（Swagger）定义导入驱动 API 扫描，验证规范是否最新、端点是否完整、API 认证与 Content-Type 是否正确、是否考虑速率限制；支持 GraphQL 扫描，验证内省是否可用、查询深度限制、变更操作的处理。
认证扫描设置：覆盖表单认证、浏览器认证（适用于 JavaScript 密集的 SPA 与 MFA 流程）、基于 Header 的认证（API Token、Bearer）、脚本认证（OAuth2、SAML）等方法，并给出验证清单，如登录指示正则是否足够具体、登出指示正则是否定义、凭据是否通过环境变量注入、测试用户权限是否合理等。
CI/CD 集成：给出 GitHub Actions 中 ZAP 基线与全量扫描的集成模式示例，验证基线扫描是否在每个 PR 运行、全量扫描是否在合并后针对 staging 运行、主动扫描是否绝不针对生产、结果是否以 SARIF 格式上传、ZAP action 是否固定版本、fail_action 是否恰当设置等。
扫描范围管理：通过显式 include/exclude 路径控制防止扫描越界（第三方服务、生产、其他租户），验证 includePaths 是否用正则锚定目标域名、excludePaths 是否覆盖破坏性端点与第三方域名、爬虫与主动扫描是否遵守范围。
结果去重与分诊：按（告警类型 + 参数名 + 根路径）分组，折叠路径参数变体，保留首个带完整证据的发现；提供 ZAP rules 文件示例用于抑制与严重性覆盖（IGNORE/WARN/FAIL），验证规则文件是否版本控制、IGNORE 条目是否有文档化理由、注入类规则是否均设为 FAIL、指标上报前是否去重。
适用场景
初始 DAST 部署与扫描策略配置；CI/CD 流程中已有 DAST 集成的审查；认证扫描设置或排障；API 安全测试配置；DAST 结果分诊工作流设计；需要动态测试证据的合规审计。若通过参数提供了目标，审查将聚焦于该目标。
限制
各条发现被分类为 Critical/High/Medium 等级（如完全禁用主动扫描为 High、禁用 A03 注入扫描规则为 Critical、缺失安全响应头被动扫描规则为 Medium、无认证扫描为 Critical、主动扫描针对生产为 Critical 等）。在应用或提议配置变更前，需使用 Security Fixer Policy 对每条修复路径分类，并在修复计划中包含政策审查门、审查者证据与回滚指引。以上为资料中涉及的限制与约束信息，其余内容暂未提供。