Duas razões, só duas:
- Automatizar — testar 1 endpoint na mão é fácil; testar 50, repetidamente, exige um script. Quem programa escala o próprio trabalho.
- Ler e revisar — a vulnerabilidade está no código. Para achá-la (ou evitá-la), você precisa entender o que o código faz. Você não precisa escrever como um sênior; precisa ler como um auditor.
Mentalidade-chave (do Módulo 0): ao ler qualquer código, pergunte sempre: "O que aqui vem do usuário? Isso é validado? Isso é usado como dado ou como comando/HTML?" É a lente que transforma "ler código" em "achar falha".