Часто сканеры тупят именно из-за всяких нестандартных токенов и динамического JS — заморачиваться с ручным перехватом запросов и прокси реально стоит, иначе много багов просто не найдёшь. Всё слишком часто зависит от правильной настройки инструментов под конкретный сайт. Без ручной проверки отчёты не дадут нужного результата.