Я обычно пробегаюсь по критичным моментам: проверяю, чтобы формы не пропускали мусор с XSS и SQL, гляжу заголовки безопасности — без них сейчас никуда. Еще смотрю, чтобы никаких ключей и паролей в репе не оставалось. Онлайн-сканеры годятся для быстрого взгляда, но им полностью доверять не стоит. Главное — не только найти баги, а понять, что реально можно быстро закрыть перед релизом, а остальное оставить на потом.