1.OWASP ZAP
OWASP Zed攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者积极维护。它可以帮助你在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。
也可以说ZAP是一个中间人代理。它能够获取你对Web应用程序发出的所有请求以及你从中收到的所有响应。
它即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。它也是经验丰富的测试人员用于手动安全测试的绝佳工具。
2. 下载地址
OWASP ZAP 下载Welcome to ZAP!
3. Mac Chrome 代理配置
3.1 打开电脑 系统设置（System Preferences）-网络（Network）-WIFI高级（Advanced）-代理（Proxies）
进行图中设置，http/https都是127.0.0.1:8080，然后应用
3.2 打开ZAP- 设置 - 网络（Network）-本地代理（Local Proxies）
#由于手动测试时，网站会默认打开网址为HTTPS，所以还要进行如下设置！！重要！！！
3.3 取消测试时URL强制HTTPs通道
打开ZAP- 设置 - HUD- 取消所有的勾选
4 Chrome证书配置
4.1 打开ZAP- 设置 - Server Certificates - 保存（Save）
4.2 打开Chrome- 设置 - 隐私与安全（Privacy and security） - 安全（Security）-管理设备证书（Manage device certificates）- 点击 系统（System）- 证书（Certificates）
将刚刚保存的ZAP证书拖入其中
4.3 右键点击刚拖进去的证书- 获取信息（get info） - 信任（Trust）-选择 总是信任（Always Trust）
5 可以开始输入网址进行 自动/手动测试
参考链接：