Всё по делу, только хочу добавить: автоматические сканеры — это хорошо, но без ручной проверки уязвимости часто остаются незамеченными. Много зависит от контекста проекта, поэтому комбинирую несколько инструментов и ручной анализ, тогда полезнее. Ну и не забывать про обновления — без них вся работа мимо кассы.