Вот именно, как было раньше — сканеры лишь половина дела, настоящее мясо начинается с ручного копания. Логика API — это как разгадка головоломки, и без понимания бизнес-процессов ты просто тыкаешь в слепую. OWASP наконец нормально расставил акценты, теперь понятно, куда копать, а куда можно и не лезть. Добротный разбор, держать в закладках!