Zed Attack Proxy (ZAP)

Zed Attack Proxy（简称 ZAP）是一款由开放 Web 应用程序安全项目（OWASP）维护的开源 Web 应用安全测试工具。其核心定位是在客户端（浏览器）与后端服务器之间充当高性能的拦截代理（Intercepting Proxy），从而实现对 Web 应用流量的全量捕获与分析。ZAP 不仅提供图形化界面供安全专家手动操作，更具备强大的 API 接口以支持自动化测试流水线。它通过模拟真实用户行为、执行主动漏洞扫描、进行模糊测试（Fuzzing）以及被动监控流量，旨在自动或半自动地发现 SQL 注入、跨站脚本（XSS）等常见安全缺陷，是动态应用安全测试（DAST）生态中不可或缺的标准化工具。

在现代计算架构与 DevSecOps 流程中，ZAP 扮演着连接开发、测试与安全团队的枢纽角色。作为 OWASP 官方推荐的 DAST 工具，它填补了静态代码分析（SAST）在运行时环境检测上的空白，特别是在发现逻辑漏洞和运行时配置错误方面具有独特优势。ZAP 的生态地位体现在其庞大的插件体系、活跃的社区贡献以及与主流 CI/CD 工具链的深度集成能力。它不仅是安全审计人员的“瑞士军刀”，也是自动化渗透测试框架中的关键组件，广泛应用于从代码提交后的即时扫描到上线前的全面渗透测试全生命周期。