Azure DevOps集成OWASP ZAP插件扫描报错无法生成报告文件

核心报错根因定位 #

• 报错1：Windows代理执行时Docker拉取owasp/zap2docker-stable镜像失败、进程退出码125
  根因：官方owasp/zap2docker-stable镜像仅支持Linux架构，Windows代理默认开启Windows容器运行模式，无法兼容运行Linux容器，镜像启动阶段直接失败，不会生成任何扫描产物。
• 报错2：切换ubuntu-latest代理后触发ENOENT错误，提示工作路径下report.json不存在
  根因：这类问题基本由三类配置疏漏导致：
  • owaspzap@1任务配置的扫描目标地址不可达，ZAP进程启动后无法访问待扫描站点，扫描流程提前终止，未走到报告生成步骤
  • 报告输出路径使用Windows格式绝对路径，Ubuntu环境下路径识别失败，报告实际生成到非预期目录
  • ZAP容器挂载宿主机工作目录时无写入权限，无法将容器内生成的报告落到流水线工作路径

可直接落地的修复步骤 #

• 基础运行环境修正
  优先统一使用ubuntu-latest作为流水线运行代理，该代理默认预装适配Linux容器的Docker环境，无需额外配置即可正常运行ZAP镜像。若必须使用Windows代理，需在Docker启动步骤执行命令切换到Linux容器模式：

  & 'C:\Program Files\Docker\Docker\DockerCli.exe' -SwitchLinuxEngine
  

  但该模式稳定性较差，不推荐生产环境使用。
• 扫描前置校验逻辑补全
  不要在应用部署完成后立刻启动ZAP扫描，在AzureRmWebAppDeployment任务与扫描任务之间增加HTTP探活步骤，确认站点正常启动后再执行扫描，避免因应用未启动导致扫描失败，探活示例命令：

  for i in {1..30}; do curl -f https://your-app-domain/healthz && break || sleep 10; done
  

  扫描目标地址不要填写localhost、127.0.0.1这类回环地址，必须填写代理网络可直接访问的有效服务地址。
• 扫描任务参数修正
  调整owaspzap@1任务的核心配置：
  • 报告输出路径统一使用Linux风格相对路径，指定为$(Build.ArtifactStagingDirectory)/zap-report，输出格式同时勾选JSON、HTML两类
  • 暂时关闭任务默认的"扫描完成后自动清理容器"配置，方便排查问题
  • 在扫描任务前增加权限配置步骤，给工作目录开放写入权限：

    chmod -R 777 $(Build.ArtifactStagingDirectory)
    

  扫描任务执行后增加调试步骤，列目录确认报告是否正常生成：

  ls -la $(Build.ArtifactStagingDirectory)/zap-report
  

  若该步骤能看到report.json、report.html文件，说明扫描环节已正常运行，后续格式转换、结果发布步骤统一引用该路径即可解决文件不存在的报错。
• 结果标签页显示修复
  优先使用owaspzap@1任务自带的结果发布能力，将任务参数publishResults设置为true，HTML报告发布步骤直接指向zap-report目录下的HTML文件即可，不需要额外通过PowerShell做XSLT转NUnit、handlebars模板生成结果文件的操作——自定义转换脚本如果路径匹配错误，反而会导致结果页无法正常渲染。配置正确的情况下，流水线运行完成后，可在运行摘要的扩展分类下找到OWASP ZAP的Results标签页。

注意：如果使用自定义Docker命令执行全量扫描，必须通过-v参数将宿主机报告目录挂载到容器内ZAP的工作路径，挂载示例：-v $(Build.ArtifactStagingDirectory)/zap-report:/zap/wrk/:rw，否则容器销毁后报告会随容器一起删除，必然出现文件不存在的错误。

内容的提问来源于stack exchange，提问作者Pxaml