スキル dast-zap

📦

dast-zap

Name: dast-zap
Author: AgentSecOps

v0.1.0 コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数

使用 OWASP ZAP 掃描網頁應用程式

執行階段的網頁安全測試很難在團隊之間標準化。此技能提供 OWASP ZAP 工作流程，涵蓋授權掃描、API 測試、驗證身分，以及 CI/CD 報告。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

Maintain this Skill? Claim it ⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "dast-zap" from https://skillstore.io/skills/agentsecops-dast-zap.md and its manifest at https://skillstore.io/api/skills/agentsecops-dast-zap/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-dast-zap.md 署名済み manifest GET /api/skills/agentsecops-dast-zap/manifest 署名済み lockfile GET /api/skills/agentsecops-dast-zap/lockfile

テストする

「dast-zap」を使用しています。為 staging 網頁應用程式規劃 baseline 掃描。

期待される結果:

一份有範圍界定的掃描計畫，包含授權檢查、目標 URL、被動式掃描設定、報告格式，以及通過或失敗門檻。

「dast-zap」を使用しています。在建立票證前檢閱 ZAP 發現項目。

期待される結果:

依風險和受影響路由排序的發現項目。
每個高風險警示的手動驗證步驟。
針對已記錄誤判的建議抑制規則。

「dast-zap」を使用しています。將已驗證身分的 API 掃描加入 CI。

期待される結果:

一項管線設計，使用測試憑證、儲存報告、檢查高風險數量，並避免使用正式環境密鑰。

セキュリティ監査

高リスク

v9 • 2026/7/23 バージョン別レポートを開く

Most static detections are documentation or visible templates for authorized OWASP ZAP testing and were dismissed as false positives. Confirmed issues include privileged package installation and an API-key-in-URL example. Semantic review also found reusable fixed credentials, fail-open GitLab gates, and mutable CI dependencies; no prompt injection or malicious intent was found.

スキャンされたファイル

2,913

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

高

assets/zap_context.xml:120-122 assets/zap_context.xml:143-145 references/authentication_guide.md:77-80

Hardcoded Sample Credentials in Reusable Templates

Reusable authentication examples contain fixed passwords such as TestPassword123!, AdminPassword123!, and SecureP@ssw0rd. Users may copy these values into real scan contexts and expose accessible test accounts.

The cited files contain literal password values in copyable context templates and documentation. The example domains reduce immediate exposure but do not remove insecure-default risk.

高

assets/gitlab_ci.yml:22-30 assets/gitlab_ci.yml:55-65 assets/gitlab_ci.yml:97-108 assets/gitlab_ci.yml:159-184

Fail-Open GitLab Security Gates

The GitLab scan jobs suppress scanner failures with || true. The security gate also succeeds when the baseline report is absent.

The template explicitly suppresses three scanner exit codes and treats a missing report as a successful skip. This directly permits failed scans to bypass the gate.

高

assets/github_action.yml:16-19 assets/github_action.yml:28-34 assets/gitlab_ci.yml:9-18

Mutable CI Dependencies

The CI templates execute containers and actions referenced by mutable tags, including latest. A changed upstream tag could execute with repository permissions or CI secrets.

The cited workflows use version tags and latest container tags instead of immutable commit or image digests. CI executes those dependencies with workflow privileges.

機能レビュー項目 (2)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

assets/github_action.yml:177

sudo privilege escalation

sudo apt-get update && sudo apt-get install -y jq

The GitHub Actions template installs jq with sudo at runtime. This is a real privileged CI step and increases supply-chain and runner-hardening risk if copied unchanged.

高

references/api_testing_guide.md:75

Generic API/secret keys

--target https://api.example.com?api_key=your-api-key \

The guide demonstrates placing an API key in a query string. Even with placeholder text, this pattern can leak credentials through logs, browser history, and proxies.

リスク要因

⚙️ 外部コマンド (50)

assets/github_action.yml:180 assets/github_action.yml:181 assets/github_action.yml:177 assets/gitlab_ci.yml:23 assets/gitlab_ci.yml:56 assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:69 assets/gitlab_ci.yml:99 assets/gitlab_ci.yml:100 assets/gitlab_ci.yml:160 assets/gitlab_ci.yml:161 assets/gitlab_ci.yml:202 references/api_testing_guide.md:25 references/api_testing_guide.md:38 references/api_testing_guide.md:50-53 references/api_testing_guide.md:132 references/api_testing_guide.md:210 references/api_testing_guide.md:353 references/authentication_guide.md:97 references/authentication_guide.md:113-116 references/authentication_guide.md:176-182 references/authentication_guide.md:196-201 references/authentication_guide.md:234 references/authentication_guide.md:304 references/authentication_guide.md:414-417 references/false_positive_handling.md:249 SKILL.md:37-39 SKILL.md:39-45 SKILL.md:45-47 SKILL.md:47-53 SKILL.md:53-59 SKILL.md:59-67 SKILL.md:67-73 SKILL.md:73-84 SKILL.md:84-90 SKILL.md:90-103 SKILL.md:103-110 SKILL.md:110-127 SKILL.md:127-141 SKILL.md:141-143 SKILL.md:143-149 SKILL.md:149-158 SKILL.md:158-167 SKILL.md:167-173 SKILL.md:173-180 SKILL.md:180-188 SKILL.md:188-196 SKILL.md:196-215 SKILL.md:215-221 SKILL.md:221-225

🌐 ネットワークアクセス (50)

📁 ファイルシステムへのアクセス (4)

assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:68 references/false_positive_handling.md:170 references/false_positive_handling.md:251

🔑 環境変数 (2)

assets/zap_automation.yaml:46 references/api_testing_guide.md:75

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-dast-zap/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg)](https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-dast-zap.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). dast-zap security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-dast-zap/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-dast-zap-2026,
  author = {AgentSecOps},
  title = {dast-zap security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-dast-zap/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dast-zap security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-dast-zap/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-dast-zap:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

將 DAST 加入 Pull Request

在程式碼進入 staging 前執行 baseline ZAP 檢查並發布報告。

測試已驗證身分的應用程式區域

為測試使用者設定登入情境、工作階段檢查，以及受保護頁面掃描。

評估 API 安全涵蓋範圍

使用具角色感知能力的 token 掃描 OpenAPI、GraphQL、SOAP 和版本化 API 端點。

これらのプロンプトを試す

規劃 Baseline 掃描

為我的 staging URL 建立安全的 OWASP ZAP baseline 掃描計畫。包含前置條件、範圍限制和報告輸出。

設定 API DAST

協助我使用 OpenAPI 規格掃描已授權的 API。包含驗證標頭、報告格式和失敗門檻。

建立 CI 安全閘門

為 staging 設計 GitHub Actions 或 GitLab CI ZAP 安全閘門。在高風險發現項目出現時失敗，並封存掃描報告。

調校已驗證身分的主動式掃描

為測試帳號建立已驗證身分的 ZAP 主動式掃描工作流程。包含重新驗證、排除項目、速率限制和手動驗證步驟。

ベストプラクティス

在主動式掃描前使用書面授權、目標 allowlist 和維護時段。
避免將正式環境憑證放入掃描檔案，並透過受保護的 CI 變數傳遞密鑰。
在建立事件或阻擋發布前，手動驗證高風險 ZAP 警示。

回避

未經明確核准即對正式環境或第三方系統執行主動式掃描。
將範例密碼、API 金鑰或目標 URL 複製到真實環境中。
未具備書面證據與安全審查就抑制高風險發現項目。

よくある質問

此技能會自行執行 OWASP ZAP 嗎？

它提供工作流程、指令和範本。使用者或代理必須在已授權的環境中執行 ZAP。

我可以將它用於正式環境系統嗎？

只有在取得書面授權、規劃執行時間、設定速率限制，並由應用程式擁有者提供 rollback 支援時才可以。

它支援已驗證身分的掃描嗎？

可以。它涵蓋表單登入、bearer token、OAuth 流程、工作階段驗證和重新驗證模式。

它可以掃描 API 嗎？

可以。它包含 REST、OpenAPI、GraphQL、SOAP、WebSocket 和版本化 API 測試指引。

應該如何處理密鑰？

使用環境變數或 CI 密鑰儲存區。不要在情境檔案或指令歷史記錄中硬編碼憑證。

ZAP 發現項目一定都是真實弱點嗎？

不是。DAST 發現項目需要手動驗證、誤判處理和業務情境，才能做出修復決策。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/dast-zap

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/26

利用状況

10 ダウンロード · 219 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 github_action.yml

📄 gitlab_ci.yml

📄 zap_automation.yaml

📄 zap_context.xml

📁 references/

📄 api_testing_guide.md

📄 authentication_guide.md

📄 EXAMPLE.md

📄 false_positive_handling.md

📄 owasp_mapping.md

使用 JWT 身分驗證保護 FastAPI API

作成者 Abdul-Haseeb360

在 FastAPI 服務中一致地實作 JWT 身分驗證可能很困難。此技能會指導 token 驗證、存取控制與安全的錯誤處理。

セキュリティ＆コンプライアンス表示

dast-zap

自分のエージェントでインストール

エージェントが読めるリソース

テストする

セキュリティ監査

確認済みのセキュリティ上の懸念 (3)

リスク要因

レポートリンクをコピー

Markdownバッジ

HTMLバッジ

埋め込みカード

APA形式の引用

BibTeX形式の引用

CITATION.cff

Skillstore スコア

作成できるもの

將 DAST 加入 Pull Request

測試已驗證身分的應用程式區域

評估 API 安全涵蓋範圍

これらのプロンプトを試す

ベストプラクティス

回避

よくある質問

開発者情報

AgentSecOps のその他のスキル

pytm

container-hadolint

dast-nuclei

sca-trivy

sast-semgrep

sast-bandit

関連スキル

security-review

python-web-app-security-audit

web-security-testing

global-validation

auth-handler

API JWT Authenticator