---
url: https://blog.ogmabox.com/zh/ogma-vs-caido.md
description: 对比 Ogma 和 Caido 在日常 Web 安全测试中的表现，涵盖免费版功能、AI 助手、工作流、API 测试、扫描和 MCP 集成。
---

# Ogma 与 Caido 对比

Ogma 和 Caido 都以流量为 Web 安全测试的起点：捕获请求、理解请求、修改请求，再观察结果。两者的后端都使用 Rust，都提供 HTTP 历史记录、拦截、重放和自动化。真正有意义的比较不是哪个工具的标签页更多，而是在不额外订阅、不安装插件、不增加配置步骤的情况下，你能完成哪些工作。

**Ogma 将轻量化设计与丰富的内置工具结合起来。** 桌面应用集手动测试、工作流、扫描、发现、浏览器交互和内嵌 MCP 服务器于一体，AI 助手也无需订阅 Ogma 即可使用。Caido 同样强调轻量化 Rust 架构；更值得关注的是哪些工具原生内置、哪些依赖插件、哪些需要付费方案。

## 功能速览

| 功能 | Ogma | Caido |
|---|---|---|
| 基础拦截与重放 | 内置 | Basic 包含 |
| 内置 AI 助手 | 内置；自行配置服务提供商 | Basic 不包含；Assistant 需付费 |
| 项目与工作流使用 | 无付费档位配额限制 | Basic：2 个项目、7 个工作流 |
| HTTP 过滤 | HTTPQL、预设和搜索 | HTTPQL、预设和搜索 |
| 基于载荷的测试 | 原生 Automate | 原生 Automate |
| WebSocket 测试 | 历史记录、拦截、专用 WS Replay | 原生 WebSocket 历史记录与拦截 |
| 工作流自动化 | 被动、主动和转换流程图 | 原生工作流图 |
| 漏洞扫描 | 内置被动与主动引擎 | 社区 Scanner 插件 |
| 隐藏路径发现 | 专用发现工具 | Automate 字典和社区爬虫 |
| 带外测试 | 内置 HTTP、HTTPS、DNS、SMTP 监听器 | 社区集成 |
| 外部 AI 智能体 | 内嵌 MCP 服务器 | 社区 MCP 服务器 |
| 时序敏感测试 | 专用 Race 工具，含 HTTP/2 模式 | Replay Pipelines |

Caido 的版本信息来自其[方案对比](https://www.caido.io/pricing/)。其[工具对应关系](https://docs.caido.io/burp-suite/core/tools)区分了原生功能与社区扩展，[扫描文档](https://docs.caido.io/burp-suite/core/scans)则介绍了 Scanner 插件。差异在于集成方式和使用条件，并不是说 Caido 无法完成这些任务。

## 免费使用与 AI 助手

**Caido Basic 不包含内置 Assistant。Ogma 无需付费方案即可使用助手界面。** Caido 文档说明，Individual 和 Team 订阅可使用 Assistant；它能解释流量、协助构思攻击思路并生成概念验证代码。[Caido Assistant](https://docs.caido.io/app/quickstart/assistant)。

Ogma 的 Ask Bob 助手可配合请求检查和编辑使用。可配置的服务提供商包括 Anthropic、OpenAI、Google、OpenRouter，以及自定义的 OpenAI 兼容端点。你自行选择服务提供商并配置凭据，无需另购 Ogma AI 附加服务。

内置集成不等于无限免费推理：托管服务提供商可能按 API 使用量收费。同样，通过 MCP 连接外部 AI 客户端也有其模型和账户要求。常规拦截、重放和工作流无需配置 AI 服务提供商。

对于学习安全测试或独立工作的用户，这意味着从一开始就能在同一工作区内使用助手、扫描器和自动化工具。对于已经使用 Caido 的团队，其付费产品可能更符合现有采购和支持安排。

## 当测试规模逐渐扩大

Caido Basic 对项目、工作流、插件、已保存过滤器和同时运行的管线会话数量设有限制；创建项目备份也需要付费方案。随着目标和可复用测试流程增多，这些限制可能开始影响工作。Ogma 的桌面项目、工作流库和项目归档不受付费功能档位限制。[Caido 方案限制](https://www.caido.io/pricing/)。

扩展已有工具集，与在测试前先凑齐所需工具，也是两回事。Caido 提供社区 Scanner、爬虫和 OAST 集成。Ogma 则在应用内提供定向扫描、内容发现和回连监听器。如果这些是评估中的常规环节，你无需先挑选和配置多个独立插件包。对于专项任务，两款产品的插件仍有价值。[Caido 扫描选项](https://docs.caido.io/burp-suite/core/scans)、[Caido 工具对应关系](https://docs.caido.io/burp-suite/core/tools)。

以常见流程为例：发现 API 端点、重放请求、进行针对性检查、保存佐证，再准备报告。Ogma 将这些步骤放在同一工作区内。这是为希望工具开箱即用的测试人员提供便利，并不意味着扩展天生更差，也不意味着每项内置检查都能达到 Burp 扫描器的深度。

## 日常测试：历史记录、重放与实时流量

Ogma 将 HTTPQL 过滤、已保存过滤器、搜索与采用虚拟化渲染的 HTTP 历史记录表结合起来。你可以检查请求和响应数据，选择值得关注的条目，直接发送到 Replay、Automate 或主动工作流。工作流可以处理选定资源，不必为每个目标改写自身的过滤条件。

Replay 保存集合和各次尝试，包括每次尝试实际发送的请求。结构化编辑便于检查载荷；Raw 和 Hex 模式保留 HTTP/1.x 字节，用于畸形请求测试，而不会悄悄修正消息边界格式。这些按原始字节发送的模式会有意绕过常规请求转换。[Ogma 重放](https://docs.ogmabox.com/zh/app/replay)。

Caido 同样记录重放尝试，并将环境变量和工作流占位符集成到请求编辑中。这些本身就是有用的功能，不能将其视作付费扫描器的替代品。[Caido Replay](https://docs.caido.io/app/quickstart/replay)、[在 Replay 中使用工作流](https://docs.caido.io/app/guides/replay_workflows)。

Ogma 还提供独立的 WebSocket 和 SSE 历史记录、StreamQL 过滤，以及专用的 WebSocket Replay 对话视图。你可以重新连接、编辑消息、发送消息，再检查后续回复。自动管理的 Socket.IO 模式处理受支持的 Engine.IO 4 / Socket.IO 3-4 控制交互；其他协议仍可使用原始模式。两种模式都不能重新生成应用的签名令牌，也不能绕过其身份验证规则。[Ogma WebSocket 重放](https://docs.ogmabox.com/zh/app/ws-replay)。

## 将工作流变成可复用工具

两款产品都提供可视化工作流自动化。Caido 文档介绍了多步转换和操作、JavaScript 和 Shell 节点，以及身份验证刷新示例。[Caido 工作流](https://docs.caido.io/app/quickstart/workflows)。

Ogma 的被动工作流检查捕获的流量，主动工作流执行明确操作，转换工作流转换数据值。工作流定义默认在工作区内共享，也可设为项目专用。HTTP 测试数据可用于测试主动和被动工作流；转换工作流则有自己的测试输入。排查问题时可以启用运行记录和日志，大批量处理时则可关闭。

一个实用例子是导出值得关注的 JavaScript 资源。Match & Replace 可以用 HTTPQL 过滤流量，并将完整响应体交给转换工作流。主动工作流可通过 `sdk.fs.writeFile` 保存资源，用 `sdk.fs.exists` 避免覆盖，并通过 `sdk.path.join` 拼接路径。这些是受支持的 SDK 方法，并不意味着所有 Node.js 模块都能原样运行。[Ogma 工作流](https://docs.ogmabox.com/zh/app/workflows)、[匹配与替换](https://docs.ogmabox.com/zh/app/match-replace)、[后端 SDK](https://docs.ogmabox.com/zh/plugins/backend-sdk)。

## 扫描、发现与 API 覆盖范围

Ogma 提供被动分析和定向主动检查。当前主动引擎覆盖 SQL 注入、反射型 XSS、路径遍历、命令注入、SSTI、SSRF、开放重定向、XXE 和不安全上传。发现的问题会关联到佐证流量。检测结果仍需验证，尤其是基于响应时间或输入回显的结果；列出某个类别不代表保证完整覆盖。[Ogma 扫描器](https://docs.ogmabox.com/zh/app/utilities/scanner)。

Caido 的社区 Scanner 支持主动和被动测试，以及自定义检查。说 Caido 没有扫描能力并不准确；区别在于 Ogma 将引擎内置于应用，而不需要安装该插件。[Caido 扫描](https://docs.caido.io/burp-suite/core/scans)。

Ogma 的 API 导入器可以从自包含的 OpenAPI 3.x 文档、Postman 集合、GraphQL 内省结果和 WSDL 生成 Replay 请求。它处理请求体示例或根据数据模式生成的值、受支持的参数和身份验证模板，以及带类型的插入点元数据。支持 OpenAPI 服务器变量和内部引用，但不会获取外部引用。生成的请求仍需要有效凭据和符合具体应用要求的值。[Ogma API 导入](https://docs.ogmabox.com/zh/app/replay#importing-api-definitions)。

专用内容发现工具和提取出的端点视图补充了站点地图。当浏览器捕获的流量只覆盖部分攻击面时，这很实用：检查已观察到的路由、从定义生成请求，再用字典探测路径。这并不意味着发现功能可以推断所有业务逻辑路径。

## 浏览器会话与外部智能体

Ogma 将浏览器嵌入桌面工作区。其 MCP 工具可检查可访问的页面元素、填写多个字段、点击、等待预期结果，并收集有大小限制的快照或仅包含变化的更新。登录流程提供可复用步骤，通过 URL、DOM、Cookie 或请求验证结果，并设置需要手动完成的 MFA 检查点。多个带角色标签的登录流程有助于组织不同身份下的测试；仍需通过专门测试验证授权判断。[Ogma 浏览器](https://docs.ogmabox.com/zh/app/browser)。

MCP 集成还涵盖捕获的流量、发现的问题、Replay、工作流和 WebSocket 重放对话记录。检查点、活动历史和恢复工具帮助智能体在长时间会话或交接后恢复项目上下文。智能体可以发现相关接口约定，而不必依赖静态工具名称列表。

Caido 在其官网文档中介绍了社区 MCP 服务器，可访问流量、重放、发现的问题、项目及其他操作。Caido 明确说明该服务器并非官方合作项目。Ogma 的区别在于 MCP 是自身后端的一部分。[Caido MCP 教程](https://docs.caido.io/app/tutorials/mcp)。

## 专项测试与报告

Ogma 提供 Race、Decoder 处理链、Comparer、JWT 工具、令牌分析和 OAST。当目标位于远端时，回连监听器需要可访问的域名和适当的网络路由；仅启动本地监听器并不会使其能从互联网访问。[Ogma OAST](https://docs.ogmabox.com/zh/app/utilities/oast)。

Caido 的 Replay Pipelines 支持顺序执行、最后字节同步和 HTTP/2 单数据包攻击。这是用于竞态测试的原生功能，并非只能通过插件实现。[Caido Replay Pipelines](https://docs.caido.io/app/guides/replay_test_race_conditions)。

Ogma 将发现的问题、笔记、重放会话和捕获流量与项目关联。根据相应视图，可将流量导出为 HAR、JSON、CSV 或原始 HTTP。发现的问题可生成 HTML 和 Markdown 报告，也可通过打印保存为 PDF，因此测试人员无需先搭建外部报告流程，就能准备便于阅读的交付材料。项目归档支持在不同安装环境间迁移项目数据；工作区共享的工作流需单独导出。[Ogma 导出](https://docs.ogmabox.com/zh/app/exports)。

Caido 原生提供 Findings 和流量导出，但其文档引导用户使用外部报告工具或集成，而非提供内置的格式化 HTML/XML 报告生成功能。当交付物是可读的评估报告，而不仅仅是流量归档时，这一区别很重要。Ogma 的报告功能不应与 Burp 的 XML 扫描报告格式混为一谈。[Caido 报告](https://docs.caido.io/burp-suite/core/reporting)。

## 性能与工具选择

Ogma 使用异步 Rust 后端、SQLite 项目存储、Vue 和 Electron 桌面外壳。流量虚拟化渲染和按需加载详情，旨在随着历史记录增长，仍让日常检查保持流畅。对于笔记本电脑或虚拟机中的工作流，避免不必要的渲染和响应体加载是一项切实的设计重点。

Caido 同样将自己定位为基于 Rust 的轻量化 Burp 替代工具。因此，性能是双方共同的设计目标，不能据此把 Caido 描述成笨重工具。Ogma 在这里更突出的差异是内置工具覆盖面广，且付费档位限制更少。Electron 和内嵌浏览器仍会消耗资源；要对速度或内存占用进行排名，需要在相同流量、设置、插件和硬件下测试。[Caido 的架构定位](https://www.caido.io/compare/burpsuite/)。

如果你需要丰富的内置工具、无需订阅 Ogma 的助手、可复用工作流、内置扫描，以及官方 MCP 和浏览器集成，可以选择 **Ogma**。

如果 Caido 的界面和插件生态更适合你的工作流，或你需要其付费共享实例和授权方案，可以选择 **Caido**。其免费核心仍是功能扎实的手动测试工作区；需要权衡的是 Assistant 和各档位限制。[Caido 方案](https://www.caido.io/pricing/)。

**最后核对：2026 年 10 月 3 日。** Ogma 功能已依据当前应用代码核对；竞品功能已依据上文链接的官方来源核对。