Часто сталкиваюсь с тем, что большинство проблем реально из-за того, что форму не фильтруют нормально или сессии дотошно не обрабатывают. Я вот пока не стал заморачиваться с ручным анализом, просто запускаю пару автоматических сканеров — уже помогает отловить простые хвосты багов. Но согласен, что если серьёзно, то без тестового стенда сложно что-то настроить и понять, что именно не так.