Согласен, именно логика чаще всего промахивается в реале, особенно когда микросервисы и внешние API заставляют ходить по тонкому льду. Плюс, сейчас много проблем с авторизацией на уровне токенов — их быстро перебирают или подделывают при неочевидных ошибках валидации. Не просто баги, а именно сценарии, где код «ожидает одно, а приходит другое». Именно там самое больное для безопасности.