Честно, недавно только начал в API юзать ручные проверки, и реально понял, что сканеры часто пропускают всякие тупые косяки в логике. OWASP направление класс, но главное — просто потыкать руками, чтоб вникнуть, как оно работает. Скрипты — это полезно, но без мозгов и внимания особо ничего не найдёшь. Так что да, без практики тут никуда.