技能 dast-zap

📦

dast-zap

Name: dast-zap
Author: AgentSecOps

v0.1.0 内容修订 r1 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量

使用 OWASP ZAP 扫描 Web 应用

运行时 Web 安全测试很难在团队之间标准化。此技能提供用于授权扫描、API 测试、身份验证和 CI/CD 报告的 OWASP ZAP 工作流。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "dast-zap" from https://skillstore.io/skills/agentsecops-dast-zap.md and its manifest at https://skillstore.io/api/skills/agentsecops-dast-zap/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/agentsecops-dast-zap.md 已签名 manifest GET /api/skills/agentsecops-dast-zap/manifest 已签名 lockfile GET /api/skills/agentsecops-dast-zap/lockfile

测试它

正在使用“dast-zap”。为一个预发布 Web 应用规划基线扫描。

预期结果:

一份有范围限定的扫描计划，包含授权检查、目标 URL、被动扫描设置、报告格式以及通过或失败阈值。

正在使用“dast-zap”。在提交工单前审查 ZAP 发现。

预期结果:

按风险和受影响路由排序的发现。
每个高风险警报的人工验证步骤。
针对已记录误报的建议抑制规则。

正在使用“dast-zap”。将已认证 API 扫描添加到 CI。

预期结果:

一个使用测试凭据、存储报告、检查高风险数量并避免生产密钥的流水线设计。

安全审计

高风险

v9 • 2026/7/23 打开版本化报告

Most static detections are documentation or visible templates for authorized OWASP ZAP testing and were dismissed as false positives. Confirmed issues include privileged package installation and an API-key-in-URL example. Semantic review also found reusable fixed credentials, fail-open GitLab gates, and mutable CI dependencies; no prompt injection or malicious intent was found.

已扫描文件

2,913

分析行数

复核项

已忽略误报

已确认安全问题 (3)

高

assets/zap_context.xml:120-122 assets/zap_context.xml:143-145 references/authentication_guide.md:77-80

Hardcoded Sample Credentials in Reusable Templates

Reusable authentication examples contain fixed passwords such as TestPassword123!, AdminPassword123!, and SecureP@ssw0rd. Users may copy these values into real scan contexts and expose accessible test accounts.

The cited files contain literal password values in copyable context templates and documentation. The example domains reduce immediate exposure but do not remove insecure-default risk.

高

assets/gitlab_ci.yml:22-30 assets/gitlab_ci.yml:55-65 assets/gitlab_ci.yml:97-108 assets/gitlab_ci.yml:159-184

Fail-Open GitLab Security Gates

The GitLab scan jobs suppress scanner failures with || true. The security gate also succeeds when the baseline report is absent.

The template explicitly suppresses three scanner exit codes and treats a missing report as a successful skip. This directly permits failed scans to bypass the gate.

高

assets/github_action.yml:16-19 assets/github_action.yml:28-34 assets/gitlab_ci.yml:9-18

Mutable CI Dependencies

The CI templates execute containers and actions referenced by mutable tags, including latest. A changed upstream tag could execute with repository permissions or CI secrets.

The cited workflows use version tags and latest container tags instead of immutable commit or image digests. CI executes those dependencies with workflow privileges.

能力复核项 (2)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

assets/github_action.yml:177

sudo privilege escalation

sudo apt-get update && sudo apt-get install -y jq

The GitHub Actions template installs jq with sudo at runtime. This is a real privileged CI step and increases supply-chain and runner-hardening risk if copied unchanged.

高

references/api_testing_guide.md:75

Generic API/secret keys

--target https://api.example.com?api_key=your-api-key \

The guide demonstrates placing an API key in a query string. Even with placeholder text, this pattern can leak credentials through logs, browser history, and proxies.

风险因素

⚙️ 外部命令 (50)

assets/github_action.yml:180 assets/github_action.yml:181 assets/github_action.yml:177 assets/gitlab_ci.yml:23 assets/gitlab_ci.yml:56 assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:69 assets/gitlab_ci.yml:99 assets/gitlab_ci.yml:100 assets/gitlab_ci.yml:160 assets/gitlab_ci.yml:161 assets/gitlab_ci.yml:202 references/api_testing_guide.md:25 references/api_testing_guide.md:38 references/api_testing_guide.md:50-53 references/api_testing_guide.md:132 references/api_testing_guide.md:210 references/api_testing_guide.md:353 references/authentication_guide.md:97 references/authentication_guide.md:113-116 references/authentication_guide.md:176-182 references/authentication_guide.md:196-201 references/authentication_guide.md:234 references/authentication_guide.md:304 references/authentication_guide.md:414-417 references/false_positive_handling.md:249 SKILL.md:37-39 SKILL.md:39-45 SKILL.md:45-47 SKILL.md:47-53 SKILL.md:53-59 SKILL.md:59-67 SKILL.md:67-73 SKILL.md:73-84 SKILL.md:84-90 SKILL.md:90-103 SKILL.md:103-110 SKILL.md:110-127 SKILL.md:127-141 SKILL.md:141-143 SKILL.md:143-149 SKILL.md:149-158 SKILL.md:158-167 SKILL.md:167-173 SKILL.md:173-180 SKILL.md:180-188 SKILL.md:188-196 SKILL.md:196-215 SKILL.md:215-221 SKILL.md:221-225

🌐 网络访问 (50)

📁 文件系统访问 (4)

assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:68 references/false_positive_handling.md:170 references/false_positive_handling.md:251

🔑 环境变量 (2)

assets/zap_automation.yaml:46 references/api_testing_guide.md:75

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/agentsecops-dast-zap/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg)](https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/agentsecops-dast-zap.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

AgentSecOps. (2026). dast-zap security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-dast-zap/audits/9

BibTeX 引用

@techreport{agentsecops-agentsecops-dast-zap-2026,
  author = {AgentSecOps},
  title = {dast-zap security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-dast-zap/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dast-zap security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-dast-zap/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-dast-zap:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

100

可维护性

内容

社区

规范符合性

你能构建什么

将 DAST 添加到 Pull Requests

在代码进入预发布环境之前运行 ZAP 基线检查并发布报告。

测试应用的已认证区域

为测试用户配置登录上下文、会话检查和受保护页面扫描。

评估 API 安全覆盖范围

使用感知角色的 token 扫描 OpenAPI、GraphQL、SOAP 和带版本的 API 端点。

试试这些提示

规划基线扫描

为我的预发布 URL 创建一个安全的 OWASP ZAP 基线扫描计划。包括前置条件、范围限制和报告输出。

配置 API DAST

帮助我使用 OpenAPI 规范扫描一个已授权的 API。包括身份验证标头、报告格式和失败阈值。

构建 CI 安全门禁

为预发布环境设计一个 GitHub Actions 或 GitLab CI ZAP 安全门禁。发现高风险问题时失败，并归档扫描报告。

调优已认证主动扫描

为测试账号创建一个已认证的 ZAP 主动扫描工作流。包括重新认证、排除项、速率限制和人工验证步骤。

最佳实践

在主动扫描之前使用书面授权、目标允许列表和维护窗口。
不要将生产凭据放入扫描文件，并通过受保护的 CI 变量传递密钥。
在创建事件或阻止发布之前，人工验证高风险 ZAP 警报。

避免

在没有明确批准的情况下，对生产系统或第三方系统运行主动扫描。
将示例密码、API 密钥或目标 URL 复制到真实环境中。
在没有记录证据和安全审查的情况下抑制高风险发现。

常见问题

此技能会自行运行 OWASP ZAP 吗？

它提供工作流、命令和模板。用户或代理必须在已授权环境中运行 ZAP。

我可以将它用于生产系统吗？

只有在获得书面授权、规划好时间、设置速率限制，并由应用所有者提供回滚支持的情况下才可以。

它支持已认证扫描吗？

是。它涵盖表单登录、bearer token、OAuth 流程、会话验证和重新认证模式。

它可以扫描 API 吗？

是。它包含 REST、OpenAPI、GraphQL、SOAP、WebSocket 和带版本 API 测试的指导。

应该如何处理密钥？

使用环境变量或 CI 密钥存储。不要在上下文文件或命令历史中硬编码凭据。

ZAP 发现总是真实漏洞吗？

不是。DAST 发现需要经过人工验证、误报处理和业务上下文判断，然后再做修复决策。

开发者详情

作者

AgentSecOps

许可证

MIT

作者版本

v0.1.0

Skillstore 修订

仓库

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/dast-zap

引用

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

维护新鲜度

2026/7/25

使用量

10 次下载 · 219 次浏览

文件结构

📁 assets/

📄 .gitkeep

📄 github_action.yml

📄 gitlab_ci.yml

📄 zap_automation.yaml

📄 zap_context.xml

📁 references/

📄 api_testing_guide.md

📄 authentication_guide.md

📄 EXAMPLE.md

📄 false_positive_handling.md

📄 owasp_mapping.md

构建可靠的测试自动化

由 89jobrien

薄弱的测试会拖慢发布并掩盖回归问题。此技能可指导测试策略、TDD、自动化、覆盖率审查以及 Playwright Web 检查。

编码与开发查看

dast-zap

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (3)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

将 DAST 添加到 Pull Requests

测试应用的已认证区域

评估 API 安全覆盖范围

试试这些提示

最佳实践

避免

常见问题

开发者详情

AgentSecOps 的更多技能

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

sast-bandit

相关技能

security-review

python-web-app-security-audit

web-security-testing

global-validation

auth-handler

testing