Как разминировать свой код на PHP (и не только)?

Никогда не думал с этой точки зрения. Да, человеческий фактор - суровая правда.

У нас, хоть и локальные репозитории, но никто не мешает косячить на проде с доступом извне.

отучить разработчиков не хардкодить секреты тяжело

Что именно здесь тяжёлого? Скорее проблема в плохо настроенном или вовсе отсутствующем процессе CI/CD, чем в разработчиках.

Интересно было бы посмотреть на конкретные примеры проектов и найдённые в них уязвимости. Опыт подсказывает что такие автосгенеренные отчёты на 100% ложные срабатывания без возмозможности их эксплуатации.