Автоматические сканеры — классно для быстрого обзора, особенно когда надо сразу понять хотя бы базу. Но для реального понимания и поиска сложных дыр лучше ручная проверка или хотя бы сочетание методов. Статический анализ — удобно, когда код под рукой, но он не заменит тесты на живом приложении. Идеально, когда есть время и ресурсы на комбинирование, тогда ловишь больше.