Какие инструменты и техники помогают находить уязвимости в JavaScript-коде?

О чём речь

Комплементарные слои, ни один сканер не «доказывает безопасность»:

1. Threat modeling + ручной review — design flaws.
2. Линтеры / SAST — рискованные потоки данных и API.
3. Dependency + secret scanning — supply chain.
4. Тесты на авторизацию.
5. Dynamic: OWASP ZAP / Burp против авторизованного окружения.

Приоритизируй по exploitability и impact, подтверждай вручную, ретестируй фикс. Не сканируй чужие системы без разрешения. Не клади реальные credentials в конфиг сканов и отчёты.

Итог: модель угроз + статика + зависимости + динамика + ручная проверка критичного.