OWASP ZAP 的安装安装过程比你想象的要简单，但有几个坑我踩过，安装这里直接说清楚。安装

ZAP 全称 Zed Attack Proxy，安装是安装 OWASP 旗下一个开源的 Web 应用安全扫描工具。它能做被动扫描、安装主动扫描、安装模糊测试、安装API 安全检测，安装功能覆盖渗透测试的安装大部分日常需求。和 Burp Suite 比，安装ZAP 完全免费，安装社区版没有功能阉割，安装这一点对个人研究者和小团队来说很实在。安装

先确认你的安装 Java 环境

ZAP 是 Java 写的，运行依赖 JRE 或 JDK。官方安装包里 Windows 版本自带运行时，Linux 和 macOS 的某些分发方式则需要你手动装好 Java 11 以上版本。打开终端敲 java -version，如果返回类似 openjdk version "17.0.x" 就没问题。没有的话去 Adoptium 下载 Temurin 的 JDK，别去 Oracle 官网折腾账号注册那套流程。

Windows 下的安装

去 ZAP 官网 zaproxy.org 的下载页，找 Windows Installer 那个 exe。截至我写这篇文章时，最新稳定版是 2.15.0，文件大概 70 多 MB。双击运行，安装向导会问你要不要装自带的 JRE，勾上就行。安装路径默认在 C:\Program Files\ZAP\Zed Attack Proxy，不建议改到中文路径下，后面调用命令行脚本时容易出编码问题。

装完后开始菜单会出现 ZAP 的快捷方式。第一次启动会弹一个窗口问你是否保留会话，选“No, I do not want to persist this session at this moment in time”，然后点 Start。这个选择只影响当前会话，后面可以随时在设置里改。

Linux 下的几种方式

Debian/Ubuntu 系可以直接下 .deb 包，用 dpkg -i 安装。但更推荐用官方提供的 zap.sh 通用安装包——下载 tar.gz 解压到一个目录，比如 /opt/zaproxy，然后 chmod +x zap.sh 给执行权限。这种方式的好处是升级方便，直接覆盖目录就行，不会和系统包管理器打架。

Kali Linux 用户注意：Kali 的软件源里已经带了 ZAP，但版本往往比官网落后一两个大版本。如果你要用最新的 add-on 和 API 端点，还是去官网下。

macOS 安装

官网提供 .dmg 安装包，拖进 Applications 文件夹即可。首次打开时 macOS Gatekeeper 可能拦截，提示“无法验证开发者”。去“系统设置 → 隐私与安全性”里点“仍要打开”就行。另外，如果你用 Homebrew，brew install --cask zap 也能装，但同样存在版本滞后的问题。

Docker 方式——我个人最推荐

如果你不想在宿主机上装 Java 和各种依赖，Docker 是最干净的方案。官方镜像 ghcr.io/zaproxy/zaproxy:stable 拉下来就能跑。做自动化扫描时尤其方便：

docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://your-target.com

这一条命令就能对目标站点跑一轮基线扫描，输出 HTML 报告。CI/CD 流水线里集成 ZAP 基本都走这条路。唯一要注意的是容器内访问宿主机服务时，localhost 要换成 host.docker.internal（macOS/Windows）或宿主机的实际 IP（Linux）。

装完之后的小调整

启动后建议先做两件事。一是去 Tools → Options → Check for Updates 确认所有 add-on 都是最新版，ZAP 的很多核心功能是以插件形式发布的，默认安装的插件集不一定完整。二是把内存调大一点，默认的 JVM 堆内存是 512MB，跑主动扫描大站点时会卡。编辑 zap.sh 或 zap.bat，找到 -Xmx 参数，改成 -Xmx2048m 或更高。

另外，ZAP 默认监听 8080 端口做代理。如果你机器上已经有别的服务占了 8080（比如 Tomcat），启动时会报端口冲突。去 Options → Network → Local Servers/Proxies 里改一个空闲端口就行。

整个安装流程走下来，Windows 用户大概五分钟，Linux 和 Docker 方式更快。真正花时间的是后续的配置和扫描策略调优，那又是另一个话题了。

(责任编辑：百科)