AccessibleObject API 允许程序员绕过由 Java 访问说明符提供的 access control 检查。特别是它让程序员能够允许反映对象绕过 Java access control，并反过来更改私有字段或调用私有方法、行为，这些通常情况下都是不允许的。

许多应用程序使用 Cookie 传递用户会话标识符。当通过 HTTPS 访问应用程序时，Cookie 将受到保护（攻击者无法探查 Cookie）。但是，如果开发人员允许 HTTP 访问应用程序的非敏感部分，则可能导致会话标识符被盗。当用户浏览到未受保护的站点区域时，包含将以明文形式发送会话 ID Cookie 。如果攻击者探查通信，则可以查看会话 ID 并通过它控制用户会话。


以下示例显示了混合不安全通道和安全通道的配置：

  <property name="filterInvocationDefinitionSource">
    <value>
      CONVERT_URL_TO_LOWERCASE_BEFORE_COMPARISON
      \A/secure/.*\Z=REQUIRES_SECURE_CHANNEL
      \A/acegilogin.jsp.*\Z=REQUIRES_SECURE_CHANNEL
      \A/j_acegi_security_check.*\Z=REQUIRES_SECURE_CHANNEL
      \A.*\Z=REQUIRES_INSECURE_CHANNEL
    </value>
  </property>

Acegi Security 允许在安全对象回调阶段临时替换 SecurityContext 中的身份验证对象。仅当 AuthenticationManager 和 AccessDecisionManager 成功处理原始身份验证对象时才会发生这种情况。RunAsManager 创建此身份验证对象。
通常，方法调用期间，开发人员使用 RunAsManager 为通过身份验证的用户配置一个或多个额外角色。此方法适用于需要访问远程应用程序的安全 Bean。由于远程应用程序可能需要不同的凭据，因而可以在调用角色与远程应用程序所需的角色之间进行转换，以便成功实施远程访问。直接接受新 Authentication 对象（称为 RunAsUserToken）作为有效 Authentication 对象，无需任何进一步的身份验证或授权检查。
为新 Authentication 对象新增角色或权限可暂时提升用户权限，允许用户采取未经授权的操作。
以下配置展示了使用 RunAsManager 针对角色为“ROLE_PEON”的用户添加角色“UBER_BOSS”，从而暂时提升此用户的权限，使其具备管理员权限，确保所有人员都能从 PrivateCatalog 中获取数据。

<bean id="bankManagerSecurity" class="org.acegisecurity.intercept.method.aopalliance.MethodSecurityInterceptor">
...
 <property name="objectDefinitionSource">
   <value>
     com.example.service.PrivateCatalog.getData=ROLE_PEON,RUN_AS_UBER_BOSS
...
   </value>
 </property>
</bean>

默认情况下，不能通过 GET 请求直接访问 Fusion 应用程序中的任务流：当 URL 尝试调用任务流时，会收到一个 HTTP 403 状态代码。但是，依赖隐式设置始终缺乏清晰度，且如果以下默认设置更改，可能会导致不必要的行为。

示例 1：以下代码段来自任务流定义文件，它显示了配置有隐式默认的 url-invoke-disallowed 设置的任务流示例。

...
    <task-flow-definition id="password">
        <default-activity>PasswordPrompt</default-activity>
        <view id="PasswordPrompt">
            <page>/PasswordPrompt.jsff</page>
        </view>
        <use-page-fragments/>
    </task-flow-definition>
...

在常规 JSF 应用程序中，使用 UI 组件指定的转换器和验证器来转换和验证值。提交页面时会自动进行转换和验证。Fusion 应用程序中可创建书签的视图不会执行页面提交，因此默认情况下不会执行类似的转换或验证。

示例 1：以下配置文件代码段显示了配置为不执行 paramName URL 参数的转换或验证的可创建书签的示例视图。

...
    <bookmark>
        <method>#{paramHandler.handleParams}</method>
        <url-parameter>
            <name>paramName</name>
            <value>#{requestScope.paramName}</value>
        </url-parameter>
    </bookmark>
...

Oracle ADF Faces 组件的属性值通常只能在服务器上设置。但许多组件都允许开发人员定义可在客户端上设置的属性列表。这些组件的 unsecure 属性可以指定此列表。

目前唯一一个可在 unsecure 属性中显示的属性是 disabled，该属性允许客户端定义要启用和禁用的组件。最好不要让客户端控制只应在服务器上设置的属性值。

示例：以下代码显示了从用户收集密码信息并使用 unsecure 属性的 inputText 组件。

...
    <af:inputText id="pwdBox"
                  label="#{resources.PWD}"
                  value=""#{userBean.password}
                  unsecure="disabled"
                  secret="true"
                  required="true"/>
...

将加密密钥存储在静态类字段中时，可访问进程内存（如经过 root 的设备）或进程内存转储（如故障转储）的实体可轻松恢复该密钥。