ZAP代理中SiteTree导出YAML格式的多行键名问题解析

在网络安全测试工具ZAP代理的扩展模块中，存在一个关于SiteTree扫描结果导出为YAML格式的技术问题。当扫描结果中的节点名称或数据键包含换行符时，会导致生成的YAML文件格式错误，进而影响后续处理。

问题本质

YAML规范中明确规定，映射键（mapping key）如果包含多行内容，必须使用显式标记（如引号）进行包裹。ZAP当前实现中，当遇到包含换行符的节点名称时，会直接将其作为键值输出，而不进行适当的转义或引号包裹，这违反了YAML规范。

问题复现

通过构造包含换行符的URL请求可以轻松复现此问题。例如发送一个包含URL编码换行符(%0A)的HTTP请求后，SiteTree中会生成对应的多行节点名称。当导出为YAML时，生成的格式类似：

- node: Example broken line
  second line
  url: https://example.com

这种格式会导致YAML解析器抛出"YAMLException - can not read a block mapping entry"错误，因为解析器无法识别多行键名。

影响范围

该问题不仅影响SiteTree导出功能，还波及到客户端映射导出功能，因为两者共享相似的代码实现逻辑。主要影响使用YAML解析器处理导出文件的用户工作流。

解决方案思路

要解决此问题，需要在YAML导出过程中对键名进行适当处理：

1. 检测键名是否包含特殊字符（如换行符）
2. 对包含特殊字符的键名进行引号包裹
3. 确保YAML导入功能能够正确处理转义后的键名

技术实现

在实现上需要修改两个关键文件：SitesTreeHandler和ClientMapWriter。核心修改点包括：

1. 在YAML序列化前对键名进行转义检测
2. 对需要转义的键名添加单引号包裹
3. 确保转义后的内容在导入时能正确还原

总结

这个问题虽然源于YAML规范的限制，但从用户体验角度，ZAP应该提供更健壮的导出功能。通过正确处理特殊字符，可以确保导出的YAML文件能被标准解析器正确处理，从而提高工具的可靠性和用户体验。

该问题的修复将提升ZAP在复杂扫描场景下的数据导出稳定性，特别是当扫描目标包含精心构造的特殊字符时，仍能保证结果数据的完整性和可用性。