ZAP Proxy自动扫描React应用返回404错误，寻求解决方向

1. 核对快速启动的目标URL #

• 确认快速启动中输入的URL和手动访问的完全一致，包括协议（http/https）、端口、路径结尾的斜杠。React单页应用对路由路径敏感，比如https://example.com和https://example.com/可能返回不同结果。
• 尝试输入应用的完整初始路径（如https://your-app.com/home），而非仅根域名。

2. 检查ZAP上下文配置 #

• 快速启动扫描依赖自动生成的上下文，可能路径匹配规则未覆盖应用的有效路由。手动扫描时你可能已调整过上下文，而快速启动默认的上下文范围可能过窄。
• 手动创建上下文：指定目标站点的域名和路径规则（如https://your-app.com/*），再基于该上下文运行主动扫描，替代快速启动流程。

3. 启用AJAX爬虫适配React SPA #

• React是单页应用，前端路由由JavaScript动态处理，快速启动默认的普通爬虫无法渲染动态内容，会导致请求静态路径返回404。
• 快速启动扫描时勾选“使用AJAX爬虫”，或手动配置爬虫时选择AJAX模式，确保ZAP能解析React生成的动态路由。

4. 确保ZAP信任自签名证书 #

• 虽然Firefox已信任证书，但ZAP自身的证书存储可能未导入该证书，导致请求时SSL握手异常，间接返回404。
• 导入证书步骤：
  1. 从Firefox导出自签名证书（PEM格式）。
  2. 在ZAP中进入Tools > Options > SSL > Server Certificates，添加该证书为信任证书；同时在Client Certificates中导入证书（若站点需要客户端证书验证）。

5. 配置扫描时的会话与请求头 #

• 手动浏览和HUD模式下，浏览器会自动携带登录态Cookie或必要请求头（如Authorization、X-Requested-With），但快速启动扫描默认不携带这些信息，可能被后端伪装成404返回。
• 先通过HUD完成登录，在Session > Session Properties > Session Management中配置会话跟踪，确保扫描请求携带有效Cookie。
• 通过Tools > Options > Replacer添加规则，为扫描请求自动注入所需的请求头。

6. 调整爬虫参数 #

• 快速启动的爬虫默认设置可能过于保守，未解析React应用中的JavaScript链接。
• 进入Tools > Options > Spider，启用Parse JavaScript links、Parse HTML comments，适当增加Maximum depth和Maximum number of threads，提升爬虫的遍历能力。

7. 手动测试请求差异 #

• 在ZAP的Request Editor中发送快速启动扫描失败的URL，对比手动浏览时的请求头、Cookie、协议版本，排查是否存在参数遗漏或格式差异。
• 查看404响应的具体内容，确认是真实路径不存在，还是后端返回的自定义错误页（可能是权限问题伪装的404）。

内容的提问来源于stack exchange，提问作者bernieslearnings