Пробовал и то, и другое. Ручной анализ даёт понимание нюансов и помогает точечно проработать критичные моменты, особенно если знаешь, на что смотреть. Но занимает много времени и требует опыта. Автоматические сканеры быстро показывают список найденных багов, но их результаты часто требуют дополнительной проверки — куча ложных срабатываний или мелких проблем, которые не всегда стоят хлопот.

Если есть время и цели — лучше сначала поставить базовый сканер, потом руками ковырнуть то, что кажется реально опасным или непонятным. Для быстрого экспресс-аудита иногда хватает только сканера, но для серьёзной защиты портала лучше подходить комбинировано. У кого как? Кто чаще ручками копается, а кто полагается на автомат?