如何让 OWASP ZAP ajax 扫描在 Github Workflow 中运行？

如何解决如何让 OWASP ZAP ajax 扫描在 Github Workflow 中运行？

我有一个运行的 Owasp Zap 工作流，我试图通过添加“-j”来添加 ajax 扫描，因此：

  uses: zaproxy/action-full-scan@v0.2.0
  with:
    target: "https://example.com/"
    cmd_options:
       # use the Ajax spider in addition to the Traditional one
       "-j" 

这会运行，但我认为会创建一个额外的报告（没有）并且日志中唯一提到的 ajax 是：

WARNING: Illegal reflective access by com.google.inject.internal.cglib.core.$ReflectUtils$2 
(file:/root/.ZAP/plugin/spiderAjax-release-23.3.0.zap) to method 
java.lang.classLoader.defineClass(java.lang.String,byte[],int,java.security.ProtectionDomain)

看起来像是权限问题，但我不知道如何解决它，或者即使是问题所在。

解决方法

这只是一个警告 - 您可以忽略它。我们计划在适当的时候解决这个问题。

如果您使用 Ajax Spider，ZAP 不会生成额外的报告，但如果 Ajax Spider 找到更多 URL，它可能会包含更多信息。