Хаха, Burp Suite Community — классика, но если честно, иногда ощущение, что он ищет уязвимости, как я ключи по квартире: вроде где-то есть, но найти сложно. ZAP — огонь для старта, но когда проекты вырастают, хочется чего-то понавороченнее. Главное, крутить ручками, а не ждать, что сканер сам все сделает — иначе можно спать спокойно, но баги рвать будут.