独立开发者如何在真实用户到来前检查 SaaS 安全性？

一位独立开发者在 Reddit r/SaaS 发帖求助：应用功能和开发都已完成，但不确定一个用户能否看到另一个用户的数据。他列举了见过的做法——用第二个账号测试、跑扫描器、付费请开发者审查、问 AI 碰运气，想知道大家在发布前实际怎么做，以及扫描器是否真的抓到过遗漏问题，还是只带来虚假的安全感。