OWASP ZAP技术问询：无登录URL仅动态弹窗表单时如何认证？

1. 先搞定弹窗的基础追踪设置 #

• 若是JS触发的模态框（比如系统alert()或自定义弹窗），直接进入ZAP的Options > Ajax Spider > Options，勾选Handle Dialogs，让爬虫自动处理这类基础弹窗。
• 若是新窗口/标签页弹窗，进入Options > Spider > Options，勾选Follow New Windows和Follow New Tabs，确保爬虫能跟进新窗口的内容。

2. 手动录制认证+弹窗流程（新手最稳方案） #

别折腾复杂的脚本认证，直接用ZAP的Manual Explore功能：

1. 点击工具栏的Manual Explore按钮，输入目标网站URL，会弹出ZAP自带的浏览器。
2. 在这个浏览器里完全手动操作：触发弹窗、完成弹窗内的认证/输入操作，全程保持浏览器开启。
3. ZAP会自动记录你的会话Cookie、所有请求，后续扫描直接复用这个会话，弹窗内的认证状态也能保留。

3. 绑定会话到扫描上下文 #

• 操作完成后，在Sites面板找到目标网站，右键选择Include in Context，将其加入新建或已有扫描上下文。
• 进入Context > Authentication，将认证方式设为Session Management，把刚才手动录制的会话设为有效会话，确保扫描时不会丢失认证状态。

4. SPA动态弹窗的处理方法 #

如果是React/Vue这类框架生成的动态弹窗，普通爬虫无法抓取，换用Ajax Spider：

1. 右键目标网站，选择Attack > Ajax Spider。
2. 配置界面中将Maximum Crawl Depth设为5以上，Number of Browser Windows设为2，让爬虫模拟真实用户点击操作触发弹窗。
3. 爬取过程中查看Ajax Spider面板的日志，确认是否抓到弹窗内的请求；若没抓到，先在Manual Explore里手动触发一次弹窗，再启动Ajax Spider。

5. 排查常见问题 #

• 检查ZAP根证书是否已安装到浏览器，HTTPS网站的弹窗请求没有证书会被拦截，导致无法访问。
• 若目标网站有反爬机制（如验证码），可在Options > Network > Connection中添加代理IP，或在ZAP脚本面板使用HTTP Sender脚本模板绕过JS检测。
• 确认弹窗内的请求没有被ZAP的Filter面板过滤，若有则关闭或调整过滤规则。

内容的提问来源于stack exchange，提问作者L. Measy