OWASP Zap登录与未登录扫描结果一致问题及Python脚本求助

我之前也碰到过一模一样的情况——配置了表单认证但扫描结果和未登录时完全一致，核心原因大多是认证配置不完整或者没有正确关联到扫描流程。结合你的代码片段，给你一步步的排查和修复方案：

1. 补全表单认证的关键配置参数 #

你的代码里authmethod_configparams部分没写完，这是核心问题之一。表单认证需要明确指定登录URL、表单字段名、请求数据格式等，示例配置如下：

authmethod_configparams = {
    "loginUrl": "http://10.122.81.161/webui/login",  # 注意：必须是后台实际接收登录请求的接口，不是带#的前端路由
    "loginRequestData": "username=%username%&password=%password%",  # 用ZAP的占位符自动替换用户凭证
    "usernameField": "username",  # 对应登录表单里用户名输入框的name属性
    "passwordField": "password",  # 对应登录表单里密码输入框的name属性
    "submitField": "submit-btn",  # 登录按钮的name属性（如果表单里有明确的提交按钮）
    "requestMethod": "POST"  # 登录请求的HTTP方法，一般是POST
}

⚠️ 特别提醒：你的base_url带了#/dashboard/，这是前端路由，ZAP无法直接处理这类哈希路由的认证，必须找到后台真实的登录接口地址。

2. 确保目标URL被纳入上下文 #

创建上下文后，必须把需要扫描的URL范围添加到上下文里，否则ZAP不会对这些URL应用认证规则：

# 将目标系统的根路径纳入上下文，*表示匹配所有子路径
zap.context.include_in_context(context_id, "http://10.122.81.161/webui/*")
# 可选：排除不需要扫描的静态资源路径，提升扫描效率
# zap.context.exclude_from_context(context_id, "http://10.122.81.161/webui/static/*")

3. 创建并配置认证用户 #

你定义了username和password，但还需要把它们关联到上下文的认证系统中：

# 在当前上下文下创建一个扫描专用用户
user_id = zap.users.new_user(context_id, "authenticated_scan_user")
# 设置该用户的登录凭证
zap.users.set_user_credentials(context_id, user_id, {
    "username": username,
    "password": password
})
# 启用这个用户，让ZAP扫描时可以调用它
zap.users.set_user_enabled(context_id, user_id, True)

4. 关联认证方法到上下文并启用认证 #

把之前配置的表单认证方法绑定到上下文，并且启用上下文的认证功能：

# 将表单认证方法设置为当前上下文的默认认证方式
zap.context.set_context_auth_method(context_id, auth_method_name, authmethod_configparams)
# 开启上下文的认证开关，确保ZAP在扫描时使用认证用户
zap.context.set_context_auth_enabled(context_id, True)

5. 先测试认证是否生效 #

在开始扫描前，一定要先测试认证是否成功，避免白忙活：

test_result = zap.users.test_authentication(context_id, user_id)
print("认证测试结果:", test_result)
# 如果返回"SUCCESS"说明配置正确；如果失败，根据错误信息调整（比如字段名不对、登录URL错误）

6. 扫描时指定使用认证用户 #

不管是蜘蛛爬取还是主动扫描，都要指定使用刚才创建的用户ID，否则ZAP会用匿名身份扫描，结果自然和未登录时一致：

# 带认证的蜘蛛爬取
zap.spider.scan(base_url, contextid=context_id, userid=user_id)
# 带认证的主动扫描
zap.ascan.scan(base_url, contextid=context_id, userid=user_id)

额外注意：处理CSRF Token的情况 #

如果你的登录表单包含CSRF Token，直接用静态的请求数据会失败。这时候需要：

• 在authmethod_configparams中添加csrfTokenField指定Token的字段名
• 配置ZAP先请求登录页面获取Token，再自动填充到登录请求中（可以用ZAP内置的“获取CSRF Token”脚本，或者在Python代码中先模拟请求登录页面提取Token）

内容的提问来源于stack exchange，提问作者postoronnim