如何让OWASP ZAP扫描API后自动清理数据库冗余条目？

问题描述 #

我使用OWASP ZAP的zap-api-scan.py脚本，基于Swagger规范文件对API进行扫描，扫描完成后可生成完善的报告，但扫描结束后，数据库中仍残留大量扫描过程中产生的冗余条目（示例截图：），请问是否有办法让OWASP ZAP自动清理这些条目？

可行解决方法 #

• 使用内存数据库避免持久化
  直接让ZAP在内存中存储扫描数据，进程结束后数据自动销毁。调用zap-api-scan.py时添加以下参数：

  -z "-config db.type=h2mem"
  

  这个参数会强制ZAP使用H2内存数据库，扫描结束后关闭ZAP，所有临时数据会被系统自动回收，不会留下任何冗余条目。

• 扫描后调用ZAP API清理数据
  如果必须使用磁盘数据库，可在扫描完成后通过ZAP的API主动清理站点、会话等数据。示例命令如下：

  # 删除所有站点数据
  curl -X DELETE "http://localhost:8080/JSON/core/action/deleteAllSites/"
  # 删除所有会话
  curl -X DELETE "http://localhost:8080/JSON/sessions/action/deleteAllSessions/"
  

  注意：如果ZAP启用了API密钥验证，需要在请求中添加-H "X-ZAP-API-Key: your-api-key"参数。

• 指定临时工作目录并事后删除
  启动ZAP时指定一个临时工作目录，把所有扫描产生的文件（包括数据库）都放在这里，扫描完成后直接删除整个目录：

  # 执行扫描并指定临时工作目录
  zap-api-scan.py -t your-swagger-spec.yaml -r scan-report.html -z "-dir /tmp/zap-temp-dir"
  # 扫描结束后清理临时目录
  rm -rf /tmp/zap-temp-dir
  

  这种方式简单直接，能彻底清除所有扫描产生的临时文件。

• 直接删除ZAP数据库文件
  如果ZAP使用默认的磁盘数据库，扫描结束后可以手动删除数据库目录。默认路径一般是~/.ZAP_D/db/，执行命令：

  rm -rf ~/.ZAP_D/db/
  

  注意：执行前要确保ZAP已经完全关闭，并且没有需要保留的重要数据。

内容的提问来源于stack exchange，提问作者thijmende1