Хороший вопрос. И здорово, что хотя бы часть программистов началась им задаваться.
Для того, чтобы найти ошибки нужно понимать что именно ты хочешь найти.
Есть классические ошибки, которые мы все совершаем.
Вот хороший гайд с примерами от OWASP.
https://www.owasp.org/index.php/PHP_Security_Cheat...

Можно научиться находить ошибки самому натыкивая вредоносными запросами сервис. Для этого тоже есть норм гайды. https://www.owasp.org/index.php/OWASP_Testing_Guid...

Но это касается только уязвимостей в веб-приложении.
Еще торчащие наружу уязвимые порты, слабые пароли, ошибки в конфигурации веб-сервера и приложения. Ну и специфичные баги для фреймворка и языка.

Для первого взгляда и оценки насколько все плохо можно попробовать сканеры, картина будет более-менее полной.
Из русскоязычных сервисов классный https://metascan.ru
Из англоязычных - Acunetix, Qualys, Detectify, Tinfoil.

Привет!

Самый лучший способ проверить сайт на XSS - проверить исходный код.
Основная причина возникновения XSS - отсутствие фильтрации пользовательского ввода на (&, <, >, ", ')

Большинство современных ORM, шаблонизаторов в языках выполняют эскейпинг пользовательских данных, что должно защищать от XSS. К сожалению часто разработчики выключают эти проверки руками.

Более подробно про то как защитить свой код от XSS: https://www.owasp.org/index.php/XSS_(Cross_Site_Sc...

Как обойти фильтры и внедрить XSS: https://www.owasp.org/index.php/XSS_Filter_Evasion...

Кстати, я один из разработчиков сканера уязвимостей, в том числе и XSS - https://metascan.ru
Можете попробовать сканер или просто поспрашивать наших ребят. support@metascan.ru

ORM должна фильтровать.
Проверить что следуешь best practice: https://www.owasp.org/index.php/SQL_Injection_Prev...
А потом прогнать сканером уязвимостей. Например https://metascan.ru