У меня примерно так же, нормального универсала пока не встретил. Часто юзаю Burp для ручной проверки, особенно с прокси — это даёт больше контроля, чем авто-сканеры. Из автоматов нравится OWASP ZAP, хорошо идёт по базовым вещам, но всегда приходится фильтровать кучу ложняка. Баланс всегда настраиваю через комбинирование и здравый смысл, без этого муторно.