如何导出OWASP ZAP GUI警报适配zap-baseline.py实现Node.js API被动扫描CI集成

禁用zap-baseline.py默认主动爬虫流程 #

针对纯REST API站点，默认启动的主动爬虫会自动遍历常见静态路径（如/robots.txt、/sitemap.xml），不仅无法抓取API路由，还会产生无意义的扫描记录。禁用爬虫只需要在原有执行命令中追加参数，无需修改镜像配置：

• 追加-s 0参数：将主动爬虫的最大运行时长设为0，直接跳过爬虫启动流程，不会再发起非业务路径的探测请求
• 保持不添加-a参数：zap-baseline.py默认不会启动主动扫描器，仅运行被动扫描逻辑，完全匹配纯REST API的扫描需求
• 适配纯被动扫描的最终执行命令示例：

  docker run -t owasp/zap2docker-stable zap-baseline.py -s 0 -t https://my_website.org
  

ZAP GUI警报的可解析格式导出方案 #

当前GUI默认导出的CSV文件无法被zap-baseline.py识别，核心原因是zap-baseline.py的校验逻辑是基于ZAP原生会话上下文（包含所有代理接收的请求、响应、对应触发的警报）实现的，本身不支持解析手动导出的CSV文件。要实现全流程自动化适配CI环境，可以直接用两种方法实现：

方案1：导出原生ZAP会话文件 #

• 在ZAP GUI完成所有代理请求采集、被动扫描触发警报后，通过「文件-导出会话」功能生成.session格式的ZAP原生会话文件，不要走「导出警报为CSV」的入口
• 将该会话文件挂载到zap-baseline.py的Docker容器中，通过脚本参数指定跳过爬虫、主动扫描流程，直接加载会话内已有的警报数据，生成报告并输出对应的执行退出码
• 对应执行命令示例：

  docker run -t -v /本地会话存储路径/zap.session:/zap/wrk/tmp.session owasp/zap2docker-stable zap-baseline.py -s 0 -I -t https://example.org
  

  其中-I参数表示跳过所有主动扫描、爬虫流程，直接加载指定会话完成校验。

方案2：完全替换手动GUI操作，用无头ZAP承接测试流量 #

全流程不需要启动ZAP GUI，直接运行Docker版的无头ZAP代理进程，承接Node.js集成测试发起的所有代理请求：

• 启动容器时映射本地8080代理端口，将ZAP的会话存储目录做本地卷挂载，和之前GUI的配置保持一致
• 保留原测试命令中的NODE_TLS_REJECT_UNAUTHORIZED='0'配置，解决ZAP中间人证书的信任问题
• 所有集成测试执行完成后，直接在同一ZAP运行实例中触发基线扫描的警报校验逻辑，不需要手动导出任何文件，输出的退出码可直接对接Makefile和CI流水线

格式适配补充说明 #

• ZAP核心组件本身支持导出JSON格式的警报数据，仅需在导出入口手动选择JSON格式，即可通过简单脚本实现和zap-baseline.py一致的警报分级、退出码判断逻辑，不需要依赖脚本内置的解析器
• 所有会话导出、警报读取操作都可以通过ZAP的API接口触发，完全可以实现无人值守的自动化流程，不需要人工点击GUI按钮

内容的提问来源于stack exchange，提问作者TPPZ