无法通过zap-java-api执行蜘蛛扫描，求解决及可用示例

首先，你遇到的java.net.SocketException: Unexpected end of file from server大概率是ZAP服务地址/端口配置错误——ZAP默认的API端口是8080，而不是你代码里的8500，如果没特意修改过ZAP的API端口，这个配置肯定会连不上服务。另外，spider.scan的参数虽然支持传null，但我们可以更明确地设置合理值，避免潜在问题。

下面是可以直接运行的完整示例，包含蜘蛛扫描、被动扫描等待、生成XML和HTML报告的逻辑：

import org.zaproxy.clientapi.core.ApiResponse;
import org.zaproxy.clientapi.core.ApiResponseElement;
import org.zaproxy.clientapi.core.ClientApi;
import java.io.FileOutputStream;
import java.io.IOException;

public class ZapSpiderScanExample {
    // ZAP默认配置，根据你的实际情况修改
    private static final String ZAP_ADDRESS = "localhost";
    private static final int ZAP_PORT = 8080; // 默认端口是8080，不是8500！
    private static final String ZAP_API_KEY = "your_zap_api_key_here"; // 替换成你ZAP的API密钥
    private static final String TARGET = "https://demo.testfire.net/";
    private static final String REPORT_DIR = "./zap-reports/"; // 报告保存目录

    public static void main(String[] args) {
        ClientApi api = new ClientApi(ZAP_ADDRESS, ZAP_PORT, ZAP_API_KEY);
        
        // 确保报告目录存在
        new java.io.File(REPORT_DIR).mkdirs();

        try {
            // 1. 启动蜘蛛扫描
            System.out.println("启动蜘蛛扫描目标: " + TARGET);
            // spider.scan参数说明：target, maxDepth, maxChildren, recurse, contextName
            // 传合理的默认值，maxDepth设为3，recurse设为true
            ApiResponse resp = api.spider.scan(TARGET, "3", null, "true", null);
            String scanId = ((ApiResponseElement) resp).getValue();

            // 轮询扫描进度，直到完成
            int progress;
            do {
                Thread.sleep(1000);
                progress = Integer.parseInt(((ApiResponseElement) api.spider.status(scanId)).getValue());
                System.out.println("蜘蛛扫描进度: " + progress + "%");
            } while (progress < 100);
            System.out.println("蜘蛛扫描完成！");

            // 2. 等待被动扫描完成（给ZAP足够时间分析请求）
            System.out.println("等待被动扫描分析...");
            Thread.sleep(5000); // 根据站点大小调整时间，越大的站点需要越久

            // 3. 生成XML报告
            System.out.println("生成XML报告...");
            byte[] xmlReport = api.core.xmlreport();
            try (FileOutputStream fos = new FileOutputStream(REPORT_DIR + "zap-report.xml")) {
                fos.write(xmlReport);
            }
            System.out.println("XML报告已保存到: " + REPORT_DIR + "zap-report.xml");

            // 4. 生成HTML报告
            System.out.println("生成HTML报告...");
            byte[] htmlReport = api.core.htmlreport();
            try (FileOutputStream fos = new FileOutputStream(REPORT_DIR + "zap-report.html")) {
                fos.write(htmlReport);
            }
            System.out.println("HTML报告已保存到: " + REPORT_DIR + "zap-report.html");

        } catch (Exception e) {
            System.err.println("扫描过程中出现异常: " + e.getMessage());
            e.printStackTrace();
        }
    }
}

关键注意事项： #

1. ZAP服务配置：
   • 确保ZAP已经启动，并且在ZAP的选项 -> API里确认API端口是你代码里配置的端口（默认8080）
   • 把代码里的ZAP_API_KEY替换成你ZAP的实际API密钥（同样在API设置里可以查看/修改）
2. 蜘蛛扫描参数说明：
   spider.scan的5个参数依次是：
   • target：目标URL（必填）
   • maxDepth：蜘蛛爬取的最大深度，比如设为3（默认值是5）
   • maxChildren：每个节点允许爬取的最大子节点数，传null则用ZAP默认值
   • recurse：是否递归爬取，设为"true"表示递归
   • contextName：扫描的上下文名称，不需要的话传null
3. 依赖配置：
   确保你的项目里已经引入ZAP Java API的依赖，Maven的话可以加：

   <dependency>
       <groupId>org.zaproxy</groupId>
       <artifactId>zap-clientapi</artifactId>
       <version>1.14.0</version> <!-- 使用最新稳定版本 -->
   </dependency>
   

如果还是遇到连接问题，先手动访问http://localhost:8080/看看ZAP的页面能不能打开，再检查API密钥是否匹配，基本就能解决问题了。

内容的提问来源于stack exchange，提问作者syndy1989