OWASP Zed，准确写法是 OWASP ZAP（Zed Attack Proxy）。很多人第一次看到这个名字会愣一下——Zed 是什么？其实就是 ZAP 的英式读法，Z 在英式英语里念 "zed"，不是 "zee"。这个命名挺有意思，带着点英国人的倔强。ZAP 最初由 Simon Bennetts 在 2010 年发起，那时候他还在 Mozilla 做安全测试，觉得 Burp Suite 好用但太贵，就自己动手写了一个开源替代品。后来这个项目被 OWASP 收编，成了官方旗舰工具之一。

我最早接触 ZAP 是在一次内部渗透测试里。当时团队预算砍得厉害，Burp 的 Pro 授权续不上，有人提了一嘴“要不试试 ZAP”。下载下来一跑，界面确实不如 Burp 精致，但功能该有的都有。最让我意外的是它的自动化扫描能力——挂上代理，设置好爬虫策略，点一下 Attack，它就能自己把站点爬一遍然后跑规则库。对于那种需要快速摸底的中小型 Web 应用，效率相当可以。

ZAP 的核心定位是中间人代理。你把它启动起来，默认监听 8080 端口，然后把浏览器或手机端的代理指向它，所有流量就都从它手里过。它一边转发请求，一边记录、分析、被动扫描。被动扫描这个设计很聪明——它不主动发攻击包，只在你正常浏览时顺便检查响应头、Cookie 属性、错误信息泄露这类问题。对生产环境比较友好，不会因为扫描把服务打挂。

主动扫描就是另一回事了。ZAP 会拿着它的规则库，对目标参数逐个注入测试 payload，比如 SQL 注入、XSS、路径遍历这些。规则库更新挺勤，社区贡献的插件也不少。不过说实话，主动扫描的误报率不低，尤其是对现代前端框架（React、Vue 那类）渲染出来的页面，爬虫经常抓不全接口。这时候就得靠手动探索，或者导入 OpenAPI/Swagger 定义让 ZAP 知道有哪些端点。

说到爬虫，ZAP 内置了两种：传统爬虫和 AJAX 爬虫。传统爬虫解析 HTML 链接，AJAX 爬虫则依赖浏览器引擎执行 JavaScript。后者需要额外装个浏览器扩展或者用 Docker 跑，配置起来稍微麻烦点。我自己的习惯是先用传统爬虫跑一遍，再用 AJAX 爬虫补漏，最后手动点点关键功能，把请求历史导出成上下文，再针对性地扫。

ZAP 还有个杀手锏是 Fuzzer。你可以选中一个请求里的某个参数，右键调出 Fuzzer，加载字典文件，让它批量替换 payload。配合它的“断点”功能——可以拦截请求、修改、放行——手工测试效率不比 Burp 差。而且 ZAP 的脚本引擎支持 Groovy、Python、JavaScript，写个自定义扫描规则或者请求处理器不算难事。我就写过一个小脚本，自动把响应里包含身份证号的地方标红，省得肉眼翻。

团队协作方面，ZAP 支持“团队模式”，几个人可以共享同一个会话和扫描结果。以前做红队项目，大家各自扫各自的，最后合并报告很痛苦。用 ZAP 的共享模式，一个人扫到的漏洞，其他人打开界面就能看到，上下文也是同步的。这点比 Burp 的协作功能更轻量，不需要额外搭服务器。

当然，ZAP 不是没缺点。UI 响应偶尔卡顿，大项目扫久了内存吃得厉害。报告生成器的模板也偏简陋，要出客户交付级别的 PDF，得自己调格式或者导数据到别处。但考虑到它完全免费、开源、跨平台，这些都能忍。OWASP 每年还搞 ZAP 的开发者会议，社区活跃度一直在线。

如果你还没试过 ZAP，建议直接去 GitHub 拉最新版，或者用 Docker 一行命令跑起来。别被它朴素的外表骗了——这玩意儿挖起漏洞来，一点不含糊。