如何修改OWASP ZAP Full Scan的攻击强度为Low？

你可以通过以下两种方式实现，无需切换到baseline变体：

方法1：直接通过Action参数传递攻击强度配置 #

OWASP ZAP Full Scan的GitHub Action支持通过cmd_options参数向ZAP核心传递自定义配置。只需在参数中加入攻击强度的设置即可：

- name: OWASP ZAP Full Scan
  uses: zaproxy/action-full-scan@v0.12.0
  with:
    target: "https://你的目标域名.com"
    cmd_options: '-z "-config scanner.attackStrength=Low"'

这里的-z是ZAP命令行工具的参数，用于传递内部配置项；scanner.attackStrength是全局攻击强度的配置键，取值为Low/Medium/High，默认是Medium。

方法2：使用自定义ZAP配置文件 #

如果需要同时配置多个ZAP参数，建议创建一个XML配置文件，比如zap-config.xml：

<configuration>
  <scanner>
    <attackStrength>Low</attackStrength>
  </scanner>
</configuration>

然后在Action中指定加载该配置文件：

- name: OWASP ZAP Full Scan
  uses: zaproxy/action-full-scan@v0.12.0
  with:
    target: "https://你的目标域名.com"
    cmd_options: '-z "-configfile zap-config.xml"'

验证配置生效 #

运行Workflow后，查看ZAP的日志输出，搜索scanner.attackStrength关键字，确认其值已设置为Low；也可以查看生成的扫描报告，检查攻击条目强度是否符合预期。

内容的提问来源于stack exchange，提问作者user13836207