使用Docker中zap-api-scan.py排除技术与URL及解决扫描卡顿

一、URL排除的有效修正/补充方法 #

• 直接在命令行指定排除规则
  用-z参数直接传入URL排除模式，支持通配符，无需额外配置文件。修改后的命令示例：

  docker run -e ZAP_AUTH_HEADER_VALUE="<auth_token>" -v $(pwd):/zap/wrk/ ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py -t https://example.com/openapi -g gen.conf -r api_report.html -f openapi -J api-report.json -x api-report.xml -d -z "exclude.urls=https://example.com/openapi/ignore/*,https://example.com/openapi/test/**"
  

  PowerShell环境替换$(pwd)为${PWD}即可。
• 利用生成的配置文件固化规则
  运行-g gen.conf生成配置后，在文件中找到exclude.urls项，添加需要排除的URL：

  exclude.urls=https://example.com/openapi/ignore/*,https://example.com/openapi/test/**
  

  后续扫描时用-c gen.conf加载该配置，无需重复在命令行输入。
• 验证Context配置是否生效
  若之前手动配置Context未生效，是因为zap-api-scan.py默认使用API定义自动生成的Context，需通过-context参数指定你手动创建的Context文件路径，才能让自定义排除规则生效。

二、排除特定技术栈与扫描规则 #

• 禁用指定扫描规则
  通过规则ID或标签排除耗时规则，比如：

  # 按规则ID排除
  -z "rule.excludeIds=10015,90003"
  # 按规则标签排除（如跳过SOAP相关规则）
  -z "rule.excludeTags=SOAP"
  

  规则ID和标签可在ZAP的规则列表中查询对应项。
• 排除特定技术支持
  直接在命令行或gen.conf中设置技术排除项：

  # 命令行方式
  -z "tech.exclude=GraphQL,SOAP"
  # 配置文件方式（gen.conf中添加）
  tech.exclude=GraphQL,SOAP
  

  这样ZAP会跳过针对这些技术的专属扫描逻辑，减少不必要的检测步骤。
• 精简扫描阶段
  若仅需基础验证，可关闭主动扫描或降低扫描强度：

  # 仅做被动扫描
  -z "scanOnlyPassive=true"
  # 降低主动扫描强度
  -z "attackStrength=Low"
  

三、其他缩短扫描时长的优化手段 #

• 限制扫描深度：-z "maxDepth=1"，避免递归扫描无关层级
• 降低并发线程：-z "threads=5"（默认10，服务器性能差时可减少）
• 缩小扫描范围：直接指定需扫描的API路径，如-t https://example.com/openapi/v1/*
• 启用快速扫描：-z "quickScan=true"，跳过耗时的深度检测步骤，适配CI/CD快速验证场景

内容的提问来源于stack exchange，提问作者Kuldeep Singh