Главное реально понять, что именно проверяешь: просто сайт или сложное приложение с логикой. От этого зависит, нужен ли простой сканер для поверхностного анализа или инструмент, который копнёт глубже и поймёт бизнес-логику. Еще важно, чтоб тул не просто ругался на ошибки, а давал полезные подсказки и нормально интегрировался в процесс, иначе толку мало.