OWASP ZAP · 开源 Web 应用安全扫描器 · 中文部署与使用全指南
项目仓库： https://github.com/zaproxy/zaproxy
开源协议：Apache-2.0 · 维护方：Checkmarx（OWASP 项目） · 技术栈：Java · 形态：桌面 GUI + 代理 + Docker / CLI · 官网：zaproxy.org
1 项目简介
Zed Attack Proxy（ZAP，仓库名 zaproxy/zaproxy）是
Checkmarx 维护的世界上使用最广泛的 Web
应用扫描器，免费开源。能在开发测试阶段自动发现 Web
应用安全漏洞，也是资深渗透测试人员手动测试的利器。
1.1 核心信息一览
| 项目项 | 内容 |
|---|---|
| 项目名称 | OWASP ZAP |
| 仓库地址 | github.com/zaproxy/zaproxy |
| 项目定位 | Web 应用安全扫描器 |
| 许可 | Apache-2.0 |
| 技术栈 | Java |
| 官网 | zaproxy.org |
| 下载 | zaproxy.org/download |
1.2 适用场景
- 开发 / 测试阶段自动扫描 Web 漏洞。
- 手动渗透测试代理。
1.3 合规提示
- 仅扫描你拥有或获授权的目标。
2 功能特性
- 自动主动扫描（active scan）。
- 代理拦截、手动探索。
- Docker / CI 集成、REST API。
- 插件生态扩展扫描规则。
3 官方界面预览
封面为 ZAP 官方标识。官方 README 提供官网与下载图。
4 官方跳转链接汇总
| 类别 | 链接 | 说明 |
|---|---|---|
| 仓库主页 | https://github.com/zaproxy/zaproxy | 源码 |
| 官网 | zaproxy.org | 产品主页 |
| 下载 | zaproxy.org/download | 安装包 |
5 前置要求
- Java 运行环境（桌面版）；或直接用 Docker 镜像。
6 方式一：下载安装包（推荐）
# https://www.zaproxy.org/download/7 方式二：Docker 运行
# 官方提供 Docker live 发布镜像
# 参考 zaproxy.org 文档8 方式三：从源码构建
# 仓库 CI 用 GitHub Actions；开发环境见仓库说明9 配置项说明
- 作为代理拦截浏览器流量；主动扫描目标 URL。
- 插件在应用内市场安装。
10 常用运维命令
# GUI 启动后，输入目标 URL → 主动扫描11 风险与合规说明
- Apache-2.0 许可；仅扫描授权目标。
- 本文内容来自官方 README，随版本更新，以 zaproxy.org 为准。