去年帮一个做跨境电商的网站朋友看服务器，他笃定地说“我代码写得没问题，漏洞不可能有漏洞”。扫描结果用Acunetix扫了一遍，检测十分钟不到就报出三个SQL注入点和一个XSS。工具他脸都绿了。网站这事说明一个道理：人写的漏洞代码，自己永远看不出毛病，扫描得靠工具。检测

市面上网站漏洞扫描工具，工具大致分两类。网站一类是漏洞通用型Web扫描器，另一类是扫描专项工具。先聊通用型的检测。

Acunetix算是工具老牌选手了。它的爬虫能力很强，能自动抓取JavaScript渲染后的页面内容，对SPA站点比较友好。检测SQL注入、XSS、命令注入这些常见漏洞的准确率不错。缺点是贵，企业版一年几万块起步。小团队用不起。

Burp Suite是另一个绕不开的名字。严格说它是代理工具加扫描模块，但社区版免费，专业版也就几百美元一年。渗透测试的人几乎人手一个。它的优势在于手动测试和自动扫描结合得很顺，你可以一边浏览网站一边让它在后台跑扫描。我认识一个安全工程师，他说自己80%的漏洞发现靠Burp的Repeater功能手动改包，扫描器只是辅助。这话有道理——自动化工具能覆盖六成问题，剩下的得靠人。

OWASP ZAP是开源阵营的代表。免费，跨平台，功能覆盖了Burp的大部分基础能力。缺点是界面丑，性能一般，大规模扫描时容易卡。但对预算有限的个人开发者或小公司来说，它是最务实的选择。我自己的博客就用ZAP定期扫一遍，图个安心。

国内的工具里，AWVS（Acunetix Web Vulnerability Scanner）被讨论得很多，其实它就是Acunetix的中文圈叫法。另外Xray是近年来比较活跃的国产扫描器，由长亭科技出品。它的社区版免费，支持被动扫描模式——你正常浏览网站，它通过代理记录流量并分析漏洞。这个思路很聪明，不主动发包，对业务影响小。我试过用它扫一个内部管理系统，确实抓到了一个越权访问的问题。

专项工具方面，SQLMap专门对付SQL注入。给它一个URL，它能自动判断注入类型、数据库版本、甚至直接拖库。功能强大到有点吓人。但别乱用，未经授权扫别人的站是违法的。

Nmap不算Web漏洞扫描器，但它能扫端口和服务版本。很多时候Web漏洞的入口就是某个不该开放的端口。先Nmap扫端口，再针对性地用Web扫描器，这是常规流程。

Nikto是另一个老工具，主要查Web服务器的配置问题——比如默认文件、危险路径、过时的服务器版本。它扫得很快，但误报也多。适合做第一轮粗筛。

说点个人观察。工具再多，核心问题没变：扫描器只能发现已知模式的漏洞。逻辑漏洞、业务层面的越权、支付金额篡改——这些工具基本扫不出来。我见过一个电商站，扫描器全绿，但把商品ID改成负数就能一分钱下单。这种问题得靠人脑。

另外，别迷信扫描结果。Acunetix报的“高危”里可能有一半是误报，ZAP漏掉的问题可能比它发现的多。工具是辅助，不是答案。真正靠谱的做法是：用扫描器做日常巡检，用Burp或ZAP做手动验证，再针对核心业务逻辑写专门的测试用例。

选工具看场景。个人开发者，ZAP加SQLMap够用。小团队，Burp专业版加Xray社区版性价比高。大企业，Acunetix或Fortify这类商业方案更合适，因为要的是报告、合规、和CI/CD的集成能力。没有万能工具，只有合不合适。