Раньше вообще по старинке — после автоматических сканов хоть по 10 раз руками прогонял всё подозрительное, иногда прямо в код лазил. Сейчас пытаюсь сразу на этапе разработки валидаторы толковые ставить, чтобы не бегать с багфиксом потом. Автоматические инструменты — это хорошо, но без ручной проверки иногда как без рук. Главное, чтобы не ввалить гору патчей и костылей, а нормально структурировать код и фильтрацию с самого начала.