Если копать тему уязвимостей, часто сталкиваешься с тем, что сканеры выдают кучу предупреждений, но по факту половина из них — ложные срабатывания. Самое раздражающее — когда пытаешься решить эти "проблемы", а в реальности всё работает нормально и никакой угрозы нет. Поэтому всегда важно понимать, почему именно ты считаешь багом то или иное поведение.

Например, классика — XSS. Проверяешь ввод в форме, вставляешь скрипт, и если он отрабатывает — сигнал на красный. Но иногда баг проявляется только в специфичных условиях или требует цепочку действий. Тут поможет четкое воспроизведение и понимание, действительно ли можно выполнить произвольный код в браузере другого пользователя, или это просто фильтр срабатывает для проверки.