Чаще всего хватает простого сканера и проверки, как на сервере фильтруют входящие данные. Если заметил, что без подготовки запросы идут — уже кайф. Заголовки CSP и CORS тоже мало кто заморачивается, а это реально помогает. Главное — не придумывать велосипед и держать всё в актуальном состоянии, тогда половина дыр просто исчезнет сама собой.