OWASP ZAP 安装与部署：桌面版、Docker 与 CI 集成

二、安装与部署：桌面版、Docker 与 CI 集成

ZAP 是 Java 应用，提供桌面版安装包、跨平台压缩包、以及官方 Docker 镜像。三种方式各有用途：桌面版适合手工探索，压缩包适合无头服务器，Docker 适合 CI 流水线。

1. 确认 Java 环境。ZAP 对 Java 版本有最低要求，版本不符会直接启动失败：

   java -version

2. 选择安装方式。桌面版从官方下载安装包即可；服务器上推荐用 Docker，环境干净且版本可控：

   docker pull zaproxy/zap-stable
   docker run -u zap -p 8080:8080 -i zaproxy/zap-stable \
     zap.sh -daemon -host 0.0.0.0 -port 8080 \
     -config api.key=YOUR_API_KEY

   注意 api.key 必须设置，否则任何人都能通过 API 控制你的扫描器。
3. 安装并信任 CA 证书。和所有中间人代理一样，要抓 HTTPS 流量必须把 ZAP 的 CA 证书导入测试客户端。导出方式在 Tools → Options → Dynamic SSL Certificates 下，导入到操作系统的受信任根证书区。测试结束后记得移除。
4. 建立上下文并配置范围。在 Context 中新建上下文，把授权范围内的域名加入 Include，把第三方资源加入 Exclude。这一步是合规的基础操作，不要跳过：

   Context: engagement-test-local
     Include: https://test\.example\.local/.*
     Exclude: https://.*\.cdn-provider\.com/.*
     Exclude: https://.*\.analytics-provider\.com/.*

5. 配置认证。如果目标需要登录，要在上下文中配置认证方式（表单认证、脚本认证、或者基于令牌的认证），并设置验证策略——让 ZAP 知道"什么情况下说明已登录"。没有配认证，扫描器只能看到未登录页面，覆盖度会非常低。
6. 运行一次基线扫描验证流程。基线扫描只做被动检查，适合第一次运行时确认配置无误：

   docker run -t zaproxy/zap-stable \
     zap-baseline.py -t https://test.example.local \
     -r baseline-report.html

7. 配置 CI 集成。在流水线中以无头方式运行，把报告作为构建产物保存，并设置阈值让高风险项导致构建失败，这样安全问题能在合并前被拦住。

常见问题与排查。

可用的扫描脚本按用途区分：zap-baseline.py 只做被动扫描加轻量爬取，适合在每次提交时跑；zap-full-scan.py 会做完整的主动扫描，耗时与请求量都大得多，适合在发布前跑或按周期跑；zap-api-scan.py 针对 OpenAPI、GraphQL 等接口定义文件做扫描，适合前后端分离的项目，因为这类项目的接口无法靠爬虫自然发现。