Полностью согласен, что автоматические сканеры могут запутать новичка. Лучше реально покодить и попробовать свои кейсы вручную, так появляется понимание, а не просто слепая проверка. Маленькие проекты и простые SQLi или XSS проще всего раскрывают, какие ошибки действительно критичные, а какие — шум. Именно на практике щупать уязвимости дает кайф и понимание.