Debian 10运行ZAP API Scan出现无效挂载目录错误，如何解决？

• 核心原因：单引号阻止命令替换
  Debian默认使用的Bash等符合POSIX标准的shell中，单引号'属于强引用符号，包裹的内容不会执行命令替换、变量扩展操作。你原命令中-v '$(pwd):/zap/wrk/:rw'的$(pwd)没有被替换为当前工作目录的绝对路径，而是作为字面量直接传给Docker，Docker将$(pwd)识别为本地卷名而非主机目录，触发了字符合法性校验报错。
  Windows终端（PowerShell、WSL终端除外）的引号规则和Linux shell存在差异，双引号包裹的$(pwd)可以正常完成替换，所以Windows下的命令能正常运行。
• 原命令存在额外语法错误：
  • 镜像名拼写错误：owasp/zap2 docker-weekly中间多了空格，正确镜像名应为owasp/zap2docker-weekly
  • 目标URL存在多余空格和错误转义：URL参数中存在多余空格，单独转义&符号的写法不符合Linux shell规则，会导致URL被拆分为多个独立参数
  • 输出路径规则错误：容器内部无法直接识别主机的~/serverkeys/路径，-r指定的报告路径是容器内路径，需要和卷映射规则匹配

按以下规则修改命令即可正常运行：

1. 将-v参数的包裹符号从单引号替换为双引号，保证$(pwd)能被正确替换为当前工作目录的绝对路径
2. 修正镜像名的空格错误，合并为正确的镜像名
3. 用双引号包裹完整的目标URL，删除URL内多余空格，不需要单独转义&符号
4. 若需要将报告保存到主机指定目录，直接修改卷映射的主机路径即可

修复后可用命令示例 #

保存报告到当前工作目录 #

docker run -v "$(pwd):/zap/wrk/:rw" -t owasp/zap2docker-weekly zap-api-scan.py \
-t "http://10.170.170.170:1700/account?field4=4555666777888&field7=GENERIC01&field10=ABC076" \
-f openapi \
-r ZAP_Report.htm

保存报告到主机~/serverkeys/目录 #

docker run -v "$HOME/serverkeys:/zap/wrk/:rw" -t owasp/zap2docker-weekly zap-api-scan.py \
-t "http://10.170.170.170:1700/account?field4=4555666777888&field7=GENERIC01&field10=ABC076" \
-f openapi \
-r ZAP_Report.htm

内容的提问来源于stack exchange，提问作者Golide