Ребята, кто сталкивался с тем, что проверяешь веб-приложение на уязвимости, а потом понимаешь — часть багов из-за банальных ошибок в настройках или неправильного понимания? Например, те же SQL-инъекции, которые "ловят" из-за отсутствия санитизации в одном месте, а на деле основной геморрой в другом. Часто не хватает простой последовательности: сначала проверил права доступа, потом инпуты, потом конфиги, а не наоборот.