进阶与自动化：插件市场与持续集成

入门之后，ZAP 的”真本事”在可扩展和能跑在流水线里。这篇收个尾。

① 是什么

• ZAP Marketplace（插件市场）：在线插件仓库，给 ZAP 动态加功能，全部免费。
• 自动化（Automation）：把 ZAP 嵌进持续集成/持续交付，每次构建自动扫。
• 守护模式 / API：ZAP 当后台服务，用程序调用，不依赖点界面。

② 为什么重要

入门指南只讲了桌面点按；真要做安全左移，得靠插件补齐能力、靠自动化让”每次提交都过一遍扫描”。否则安全测试永远是偶发动作，漏掉回归引入的新漏洞。

③ 核心概念拆解

• 插件架构：桌面默认藏了很多标签页（点右侧绿”+”或右键唤出），需要的再钉住；Websockets 这类标签会在用到时自动出现。Marketplace 通过工具栏 Manage Add-ons 进入，按需装。类比：浏览器装扩展，缺啥功能装啥。
• 四种自动化出口：Docker 打包扫描（Packaged Scans）、GitHub Actions（直接接 CI）、Automation Framework（可视化编排扫描流程）、API/守护模式（程序驱动）。类比：从”手动挡”升级到”自动驾驶”，代码一推就自动体检。
• 新手友好细节：桌面大量用右键上下文菜单，刚上手时”到处右键”能发现很多隐藏功能。

④ 常见误区

• 误区一：ZAP 只能手动点。错，API/守护/Docker/GitHub Actions 都能全自动。
• 误区二：插件要钱。错，Marketplace 全部免费、开源。
• 误区三：装了插件就更强。插件要按场景选，乱装只会拖慢、干扰结果。

⑤ 一句话小结

ZAP 靠 Marketplace 插件扩容、靠 Docker/GitHub Actions/Automation Framework/API 接入自动化，把偶发的人工测试变成持续的安全门禁。

下一篇：系列完

参考来源：OWASP ZAP 2.11 Getting Started Guide（本文为原创讲解，非转载原文）