Перед тем как заливать веб-приложение в продакшн, я обычно прохожу пару обязательных этапов проверки. Самый простой — пробить базовые вещи из OWASP Top 10, чтобы хотя бы не было очевидных дыр типа XSS или SQL-инъекций. Тут помогает комбинировать автоматические сканеры и ручной осмотр кода, потому что сканеры часто пропускают нюансы.

Далее обязательно смотрю на конфигурацию сервера — защита заголовков, правильные права на файлы, TLS. Даже если код чистый, уязвимости часто возникают из-за ляпов в настройках.

Проверяю формы, особенно логин и регистрацию, на отсутствие лишних ошибок и валидации — банальные вещи вроде допустимых символов или ограничений по длине. Иногда хватает банального удаления лишних ошибок на стороне клиента и сервера, чтобы не дай бог не сливало внутренние данные.

Есть смысл прогнать приложение через тестовую среду с логированием всех запросов — это помогает увидеть странные штуки и незапланированные вызовы. Ну и нельзя забывать про обновление сторонних библиотек, это отдельная история с потенциальными дырками.

Короче, лично для меня проще пройтись по каждому шагу самым простым способом, чем пытаться найти нечто суперредкое за один присест. Кто что добавит для проверки перед тем, как выкладывать?