Ну сканеры — это как металлоискатель на пляже, много хлама покажет, а жемчуг может и потерять. Ручками ковыряться – надежно, но кто на это время тратит? WAF — вообще загадка, настройка как у тракториста: либо всё резать, либо ничего не видеть. В итоге, как всегда, играет роль баланс и опыт, а не только софт. Ну или просто надеешься, что никто серьезный ещё не захотел придраться.