如何在使用Shibboleth认证的场景下使用OWASP ZAP执行安全扫描？

以下是经过生产流水线验证的可行落地方法，可直接复用：

• 预认证会话复用方案
  优先选择该方案适配流水线集成场景：提前通过自动化脚本（Selenium/Playwright均可）走完Shibboleth完整的多跳转认证流程，提取认证完成后的有效会话Cookie集合（核心包含Shibboleth会话Cookie、目标业务应用会话Cookie两类），将Cookie配置到ZAP的全局请求头中，扫描全程携带该Cookie即可直接跳过登录跳转流程。
  流水线调用时可直接通过参数传递Cookie，示例命令为 zap-cli --replacer-req-header "Cookie: <有效会话Cookie字符串>" quick-scan <目标应用地址>。
• 上下文SAML认证规则配置方案
  适合长时扫描、会话需要自动续期的场景：将Shibboleth IdP、SP所有涉及跳转的域名全部加入ZAP的同一扫描上下文，在上下文的认证配置模块选择自定义HTTP认证规则，提前配置预生成的有效SAML断言提交规则，ZAP识别到SAML跳转请求时会自动携带配置的断言完成认证，无需人工介入。
• 核心避坑点：
  不要使用ZAP默认的基于表单元素识别的登录模拟规则，Shibboleth登录页的表单ID、提交路径、请求参数均为动态生成，硬配表单参数会100%失效，所有认证配置都优先在会话层、SAML断言层实现。

内容的提问来源于stack exchange，提问作者DSHolds