Сейчас на практике всё немного меняется — классические дырки типа SQL-инъекций и XSS уже почти повсюду мониторятся автоматом, так что тупо сканить и гребсти баги подряд уже не всегда эффективно. Главное — обратить внимание на логику приложений, нюансы авторизации и необычные пути данных. Просиживать часы в линейных сканерах — не выход, лучше грамотно комбинировать ручные проверки с автоматикой и понимать, что именно сайт пытается делать.

Например, стоит проверить, как реализованы роли и права — там часто промахи, и по мелочи именно эти баги чаще всего вскрывают реальные проблемы. Уже вторым пунктом надо смотреть обновлённые библиотеки и зависимости, они частенько несут свои уязвимости, а автоматические сканеры это либо не всегда ловят, либо выдают кучу ложных тревог.

В общем, круто иметь базовый чек-лист, но важно понимать контекст приложения, а не просто прогонять стандартный набор тестов. Кто с этим согласен, а кто привык к классике?