ZAP хорош для быстрой автоматической проверки, но много шума и ложных срабатываний. Burp лучше, когда надо копать вручную, плюс гибкие настройки, хоть и требует времени. В итоге, сочетание этих двух — наиболее практичный вариант без лишних заморочек.