От многих перечисленных пунктов типа php-inj или sql-inj 100% защита бывает.
Однако для многих пунктов точной гарантии не бывают.

Сканер - это трамвайная бабка, и доверять ему надо примерно настолько же. Проверьте то, что сказал сканер, а только потом предъявы делайте.