OWASP ZAP 核心功能与关键配置项

三、核心功能与关键配置项

ZAP 的功能组织与配置项如下。

几个关键配置项值得展开。扫描策略（Scan Policy）决定开启哪些规则以及每条规则的强度，强度越高发请求越多。生产环境的受限测试应当使用自定义的、强度较低的策略，把已知会带来高负载的规则关掉。并发与延迟直接决定目标承受的压力，在授权允许范围内也要保守设置。上下文中的验证策略决定了 ZAP 能否判断自己是否处于登录状态；配错的典型表现是扫描到一半掉线，后续请求全部跳转到登录页，扫描结果全是误报。

关于 Alert 的读法，需要理解三个字段：风险等级（高、中、低、信息）、置信度（确认、很可能、可能、可疑）、以及证据（触发告警的具体请求与响应片段）。风险等级高但置信度低，通常需要人工复核；风险等级低但置信度高，也应当纳入修复计划，因为这类问题往往是配置疏漏。报告不能直接交给业务方，必须经过人工复核与去重，把真正可复现的问题挑出来。

自动化框架（Automation Framework）是 ZAP 相对 Burp 的一个明显优势。它用一份 YAML 描述整个测试计划，包括爬取哪些路径、用哪种认证、执行哪些扫描、生成什么报告。这份 YAML 可以进代码仓库做版本管理，从而让安全测试的配置本身变得可评审、可追溯。对于需要长期维护的项目，这比手工点界面可靠得多。