Я недавно ставил на локалку WP с парой плагинов и пробовал всякие скрипты в полях — реально помогает понять, что где срабатывает. Главное — не лезть на боевые сайты без разрешения, а то потом реально геморрой. На тестовом стенде кайф, можно поиграться и посмотреть, что отвалится без риска. Ну и инструменты типа Burp или просто браузерных девтулз — палочка выручалочка.