Кто как обычно поднимает вопросы безопасности на сайтах? В последнее время заметил, что у всех свои фишки, но не все подходы одинаково полезны. Например, сканеры автоматические — легко запустить, быстро найти базовые проблемы, но часто ловят мелочи и много ложных срабатываний. Если всё чисто, можно заскучать, а если сложные баги, они обычно вообще их не увидят.

Ручной аудит — да, муторно и долго, но можно реально углубиться в логику работы приложения и поймать то, что машины не видят. Минус в объёмах и в том, что нужен классный спец, а таких мало. Ещё вариант — проводить багбаунти на свои проекты, и если сумма вознаграждений не пугает — можно получить классные отчёты, но это опять же про сложности организации и расходы.

Защитные панели типа WAF — вроде бы помогают, но если поднимать только их и игнорировать логику багов, то толку мало, да и много ложных блокировок. Иногда хочется совместить все методы, но тогда ресурс уходит сильно.