Тоже пробовал разные тулзы, и реально идеала нет. Burp нравился для ручной работы, особенно когда надо точечно проверить, что сканер пропустил. OWASP ZAP удобен, но настряпывает много ложных срабатываний, это раздражает. Комбинировать — единственный выход, иначе замучаешься с мусором в отчётах. Главное — не только сканер смотреть, а вручную пару моментов проверить, иначе можно пропустить важное.