不懂代码，也能把网站漏洞扫干净

0 行代码，5 分钟，扫出 12 条告警。

高危 3 个，中危 5 个，低危 3 个，信息 1 条 —— 这是我拿一个免费工具扫自己靶场的第一份结果。工具叫 OWASP ZAP，OWASP 官方开源，社区版永久免费

它不靠你写代码，靠「站中间」。
浏览器 → ZAP 代理 → 目标网站。你的每一次点击，ZAP 先从头看一遍请求和响应，再决定要不要动手试探。所以你会点鼠标就够用了。

装它有三条路，走通一条就行：
🚀 桌面版：zaproxy.org 下载，双击装。先确认有 Java 11 或 17，终端跑 java -version，出版本号就没问题
🐳 Docker：docker run -p 8080:8080 zaproxy/zap-stable。不用装环境，CI 里也能用
💼 社区版够用了，专业版多的是付费报表和商业支持

配代理就两步：浏览器代理指向 127.0.0.1:8080，再访问 zaproxy 那个地址把根证书装上。不装证书，HTTPS 全是乱码，什么都看不见 🔒
然后正常点你的站，History 里会滚出每一条请求。

扫法两种：
🟢 被动扫描 —— 只看不改，零噪音，日常巡检可以天天跑
🔴 主动扫描 —— 给每个参数批量塞 Payload，挖 SQL 注入、XSS 这类，噪音大，范围必须先框死

重点在后面：告警不是结论，等级才是优先级。
高危 = SQL 注入 / 远程执行，马上修 中危 = XSS / 越权，排期修 低危 = 缺安全响应头，有空改 信息 = 泄露内网 IP、注释，看看就行

还有一栏别忽略：Confidence 置信度。标 Confirmed 的基本坐实，标 False Positive 的是误报。同一等级下，先修置信度高的那批。
别一上来就扫线上站。

先用靶场练手：docker run -p 3000:3000 bkimminich/juice-shop，官方故意写满漏洞的练习场，告警最全。跑通了再碰自己的站。

最后一步：Report › Generate Report，导出 HTML 或 PDF，就是一份能交出去的基础 Web 安全检测报告 📄

工具人人能装，责任得自己担 —— 只扫你有授权的站点。主动扫描会把 Payload 打进别人的服务器，页面里的第三方统计、广告脚本也算，扫之前务必只勾自己的域名 ⚠️