DAST 在观察什么？
动态应用安全测试与正在运行的应用交互，通常通过外部接口观察请求和响应，发现能在这些条件下暴露的问题。它不同于仅分析源码的静态测试；一个工具也可能同时提供多种能力，不能只根据产品名称判断测试覆盖。[1]
019 / 安全工程与治理 / DAST
扫描没有告警，它走到过那里吗？
DAST 动态应用安全测试 · DAST
扫描器完成了任务，没有发现问题。翻看记录才发现，会话早已过期，登录后的订单路径从未被访问。先看获准范围、真实认证状态和实际触达路径，再解释报告里的数字。
开始探索 ↓8–11 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
楼外人物从平板发出请求箭头，营业中的服务机器人递回带人物信息的卡片。它比喻从运行应用外部观察响应；画面没有证明测试已获授权、资料属于谁、存在真实漏洞或已覆盖全部路径。
本课任务 / DAST 动态应用安全测试
把测试授权、路径发现、运行时认证、扫描方式与发现复核串起来，避免用零告警代替覆盖证据。
- 解释从运行中的应用观察行为的 DAST
- 区分发现路径、可访问和实际测试覆盖
- 识别主动测试的授权要求与自动扫描边界
亲手探索 / 不同条件，不同结果
沿固定路径图，检查测试到底停在哪一道门。
为虚构应用设置教学授权范围、认证状态和路径发现条件，比较被动与主动模式下的覆盖及告警。查看未测试路径的具体原因，再调整条件重新比较。这里不会接收目标网址、发出 HTTP 请求或运行真实扫描器。
安全运营工作台 · 封闭离线模型
没有发现问题，还是根本没有测到？
固定五条虚构路径，逐层检查授权、范围、认证与发现方式。运行后逐条显示测到了什么，以及哪些路径仍未覆盖。
- 已触达业务路径 / 范围内路径
- 待检查
- 候选告警数
- 待检查
尚未检查当前条件。修改选择会清除旧结论；保留的状态可在工作台查看。
仅是路径状态图，不会向任何网站扫描。主动测试需取得明确授权并评估副作用；自动扫描不能替代多角色授权、业务逻辑测试和人工复核。覆盖率分母只是这五条教学路径。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先把授权翻译成可执行的范围
明确允许测试的应用、路径、账户与测试方式，并约定可能的副作用和停止条件。扫描器里的范围配置必须对应实际授权；勾选范围不会自动获得许可。练习的教学授权只是本地开关，不构成对任何真实服务的授权。[3][5]
02 / 实用细节
登录配置成功，还要验证持续有效
扫描器保存了账户配置，不代表后续每个请求都处于登录状态。检查登录或退出标志、过期与重新认证后的行为，区分业务响应和登录页。不同角色应分别验证；管理员路径通过也不能替代普通账户的权限边界测试。[2]
03 / 实用细节
为路径覆盖补上发现与业务上下文
页面链接、接口清单和必要的测试流程可帮助发现入口，但获得路径后仍需满足该功能的前置条件。本练习只有封闭的固定路径图，覆盖数只适用于这些节点；不模拟任意单页应用、动态接口或完整业务状态空间。[1][2]
04 / 实用细节
主动方式增加测试，不自动理解全部业务
主动扫描可触发部分技术规则，但不能保证识别业务意图、所有越权或多步骤滥用。即使给所有已知路径打上“已测”，还需按风险进行人工业务验证和其他测试。扫描规则越多也不代表获准执行所有破坏性操作。[5]
05 / 实用细节
告警是复核起点，要保留请求和条件
工具告警表示潜在问题，应核对对应请求、响应、身份、规则和可复现条件，再判断实际影响。修复后用相同前提复测，同时检查正常业务没有被破坏。课堂告警是预设教学发现，不是对用户应用的漏洞判定。[6]
06 / 实用细节
零告警必须与未覆盖项一起读
没有发现可能是本轮条件下未触发问题，也可能是路径未被发现、认证失效或方法能力不足。报告应包含实际覆盖和未测试原因，而不是只写一个总数。DAST 与源码检查、依赖检查及人工测试互补，不能单独出具“应用绝对安全”的结论。[1][5][2]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
不看源码、对运行中的预发布应用发请求测试，属于？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · Vulnerability Scanning Tools ↗
DAST 的外部运行时测试定义与工具能力差异；不是产品推荐
- ZAP · Authentication ↗
认证方式、用户、会话及登录状态验证；ZAP 实现示例
- ZAP · Scope ↗
上下文与 URL 范围、范围保护模式；配置不是授权来源
- ZAP · Passive Scan ↗
对观察到的 HTTP、WebSocket 等消息进行被动分析
- ZAP · Active Scan ↗
主动测试的风险、适用范围与自动化业务逻辑测试边界
- ZAP · Alerts ↗
告警关联请求，包含风险、置信度和复核材料
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。