透過 AccessibleObject API，程式設計人員可以避開 Java 存取規範提供的存取控制檢查。特別是，程式設計人員可藉此允許回傳的物件避開 Java 存取控制，轉而變更私有欄位的值或呼叫私有方法、行為 (通常這是不允許的)。

多數應用程式使用 Cookie 來傳輸使用者的工作階段識別碼。當透過 HTTPS 存取應用程式時，Cookie 會受到保護 (攻擊者無法攔截 Cookie)。但是若開發人員允許透過 HTTP 存取非敏感的應用程式部份，則工作階段識別碼可能會遭竊取。當使用者瀏覽未受保護的網站部份，便會毫無掩飾的傳送包含工作階段 ID 的 Cookie。若攻擊者攔截網路資料，他們便可看見工作階段 ID 並將其用來控制使用者的工作階段。


以下範例將顯示結合不安全及安全通道的組態：

  <property name="filterInvocationDefinitionSource">
    <value>
      CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
      \A/secure/.*\Z=REQUIRES_SECURE_CHANNEL
      \A/acegilogin.jsp.*\Z=REQUIRES_SECURE_CHANNEL
      \A/j_acegi_security_check.*\Z=REQUIRES_SECURE_CHANNEL
      \A.*\Z=REQUIRES_INSECURE_CHANNEL
    </value>
  </property>

Acegi Security 允許在安全物件收回 (callback) 階段暫時替換 SecurityContext 中的 Authentication 物件。僅當 AuthenticationManager 和 AccessDecisionManager 成功處理原始 Authentication 物件時，此情形才會發生。RunAsManager 會建立此項 Authentication 物件。
通常開發人員會使用 RunAsManager，在方法叫用期間內替驗證的使用者設定一個或多個額外角色。這對須要存取遠端應用程式的安全 bean 很有幫助。由於遠端應用程式可能會要求不同的憑證，因此這可讓呼叫角色與遠端應用程式所需的角色之間進行轉譯，進而使遠端存取成功。系統將完全接受新的 Authentication 物件 (稱為 RunAsUserToken) 做為有效的 Authentication 物件，而不需任何進一步的 Authentication 或授權檢查。
將新的角色或權限新增至新的 Authentication 物件，可能會暫時提升使用者的權限，讓使用者進行未授權的行動。
以下組態顯示使用 RunAsManager，將「UBER_BOSS」角色新增至角色為「ROLE_PEON」的使用者，因此暫時將該名使用者提昇至管理員權限，這會讓所有未賦予權限的使用者取得 PrivateCatalog 的資料。

<bean id="bankManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
...
 <property name="objectDefinitionSource">
   <value>
     com.example.service.PrivateCatalog.getData=ROLE_PEON,RUN_AS_UBER_BOSS
...
   </value>
 </property>
</bean>

依照預設，Fusion 應用程式中的工作流程無法直接從 GET 要求中存取：每次 URL 嘗試叫用工作流程時，就會收到一個 HTTP 403 狀態碼。但是，依賴隱含的設定總是會缺少清晰度，而且如果在下方變更預設設定，可能會導致不必要的行為。

範例 1：下列來自工作流程定義檔的片段顯示使用隱含預設 url-invoke-disallowed 設定所設定的工作流程範例。

...
    <task-flow-definition id="password">
        <default-activity>PasswordPrompt</default-activity>
        <view id="PasswordPrompt">
            <page>/PasswordPrompt.jsff</page>
        </view>
        <use-page-fragments/>
    </task-flow-definition>
...

在一般的 JSF 應用程式中，會使用 UI 元件指定的轉換器和驗證器來轉換值。轉換和驗證本身會在提交頁面時發生。Fusion 應用程式中可加上書籤的檢視不會導致任何頁面提交，因此預設不會執行任何類似的轉換或驗證。

範例 1：下列組態設定檔案片段顯示了一個可加上書籤的檢視範例，該檢視組態為不執行 paramName URL 參數的任何轉換或驗證。

...
    <bookmark>
        <method>#{paramHandler.handleParams}</method>
        <url-parameter>
            <name>paramName</name>
            <value>#{requestScope.paramName}</value>
        </url-parameter>
    </bookmark>
...

Oracle ADF Faces 元件的屬性值通常只能在伺服器上設定。但是，有許多元件允許開發人員定義可以在用戶端上設定的屬性清單。這些元件的 unsecure 屬性可以指定此類清單。

目前，唯一能夠在 unsecure 屬性內顯示的屬性是 disabled，而且它允許用戶端定義哪些元件為啟用，而哪些元件不啟用。讓用戶端控制應該在僅能在伺服器上設定的屬性值，絕對不是個好方法。

範例：以下程式碼示範了 inputText 元件，該元件會從使用者收集密碼資訊，並使用 unsecure 屬性。

...
    <af:inputText id="pwdBox"
                  label="#{resources.PWD}"
                  value=""#{userBean.password}
                  unsecure="disabled"
                  secret="true"
                  required="true"/>
...

在靜態類別欄位中儲存加密金鑰讓可存取程序記憶體 (例如，取得 Root 權限的裝置) 或程序記憶體傾印 (例如，損毀傾印) 的實體能夠輕鬆復原。