Вроде бы всё настроил, пропатчил, а сканеры всё равно ругаются на одни и те же дырки. Самое частое — плохо проверенная валидация входных данных и забытые заголовки безопасности. Часто парни лезут руками править код и ставят костыли вместо нормальных решений. Если речь про SQL-инъекции, то главная ошибка — отсутствие параметризации запросов, а не просто фильтрация «опасных» символов.