OWASP ZAP 这工具，安装我装过不下十次。教程每次换电脑或者帮同事配环境，安装都得重新走一遍流程。教程它不像 Burp Suite 那样开箱即用，安装尤其在 Windows 上，教程Java 环境这关就能卡住不少人。安装直接说结论：装 ZAP 最省心的教程方式是下载带 JRE 的安装包，别跟自己较劲去配 Java 环境。安装

先去官网找下载页。教程地址是安装 zaproxy.org/download，别搜“ZAP 中文版”之类的教程关键词，那些第三方站点打包的安装东西版本旧，还可能夹带私货。教程页面上有两个主要选项：Cross Platform 和 Windows。安装Cross Platform 是给 Linux 和 macOS 用的，Windows 用户往下翻，找到带 “Installer” 字样的 exe 文件。注意看文件名里有没有 “with JRE” 这个后缀，有的话说明安装包内置了 Java 运行时，装完就能跑。

Windows 下的安装细节

双击 exe 之后会弹 UAC 提示，点“是”。安装向导第一步是选语言，只有英文，直接 Next。接着是许可协议，勾选接受。关键步骤在选安装类型那一步：默认是 “Typical”，我建议改成 “Custom”，因为 Typical 会往系统盘塞一堆东西，而且不让你选路径。Custom 模式下，把安装目录改到 D 盘或者非系统分区，比如 D:\Tools\ZAP。后面有个选项问要不要装 “Browser Extension”，这个看需求，不装也不影响核心功能。

装完之后别急着启动。先确认一下环境变量里有没有 JAVA_HOME。如果你用的是带 JRE 的版本，其实不需要额外配 Java，但有些老版本会去读系统环境变量。打开 cmd，敲 java -version，如果提示“不是内部或外部命令”，那说明系统里没 Java，但 ZAP 自带的那份够用，不用管它。

首次启动的坑

第一次打开 ZAP，它会问你要不要保留 session。选 “No, I do not want to persist this session at this moment” 就行，不然会生成一堆临时文件。接着弹出主界面，右边有个 “Automated Scan” 的快捷入口。别点那个，那是给纯小白用的，会直接对目标发起主动扫描，容易把别人网站打挂。正确做法是关掉弹窗，从顶部菜单的 “Quick Start” 标签页里选 “Manual Explore”。

还有个小细节：ZAP 默认的代理端口是 8080。如果你本机装了 Tomcat 或者别的什么服务占了 8080，ZAP 启动时会报错。这时候去 Tools -> Options -> Local Proxies 里把端口改成 8090 之类的。改完记得在浏览器代理设置里同步改，不然抓不到包。

macOS 和 Linux 的差异

macOS 用户下载 dmg 文件，拖进 Applications 就行。但第一次打开会被 Gatekeeper 拦下来，提示“无法验证开发者”。去系统设置 -> 隐私与安全性里，点“仍要打开”。Linux 用户更简单，下载 tar.gz 解压，cd 进目录执行 ./zap.sh。如果提示权限不够，先 chmod +x zap.sh。Linux 下有个好处是可以用包管理器装，比如 Ubuntu 上 sudo snap install zaproxy，但 snap 版本更新慢，不如直接下压缩包。

装好之后建议做一件事：去 Help -> Check for Updates 看看有没有新版本。ZAP 的更新频率挺高，有些漏洞检测规则隔几周就变。另外，如果你打算用它做 API 扫描，还得额外装个 “OpenAPI Support” 插件，在 Marketplace 里搜就行。这步不是必须的，但迟早用得上。

整个流程走下来，顺利的话十分钟搞定。卡住的地方九成在 Java 环境或者端口冲突。遇到问题别去翻那些三年前的中文博客，直接看官方文档的 Installation 章节，写得比大多数教程都清楚。