Часто сканеры тупят именно на динамике и нестандартных токенах, особенно если сайт тяжёлый на JS. Прокси и ручной перехват — просто мастхэв, иначе часть багов не выловишь. Ещё бывает, что сканер просто не знает, как обойти защиту, потому и молчит, так что без настройки под проект никуда.