Чаще всего попадался на том, что автоматические сканеры выдают кучу ложных срабатываний и с этим реально трудно разобраться. Пытался сырые данные патчить — толку ноль, потом понял, что надо сначала фильтровать и понимать контекст. И ещё: без нормальной документации баги быстро теряются и теряют смысл для команды, так что этому внимания уделяю теперь больше.