XML構成、ポリシー設定、セキュリティフレームワークコンポーネント、ツール（キーストアなど）、およびその間のすべてを含む、Javaのセキュリティモデルについてはほとんど何も知りません。
最終的には、袖をまくり上げてJavaセキュリティを深く学ぶことが不可欠になることは理解していますが、Apache Shiroのようなものを使用すると、移行が少し簡単になるのではないかと思いました。そのため、私はそれにいくつかの懸念があります。
Shiroは、本質的に、Javaアプリケーション（特にWebアプリ）にセキュリティを実装するための「ターンキー、キャッチオールラッパー」です。つまり、Shiroをプロジェクトで構成し、基本的に、それなしで「手動」（段階的）に実行する必要があるのと同じ構成、ポリシー設定などをすべて実行できるように調整できますか？そうでない場合、シロにはどのような欠点がありますか（シロが私のためにできない重要なことは何ですか）？Shiroがまったく対処していない大きな脆弱性はありますか？
同じように、OWASPのESAPIフレームワークについて良いことを聞いたことがあります。誰もが両方の経験がありますか？ESAPIとShiroは連携して動作するように構成できますか、それとも単にバイナリの「どちらか一方」タイプの取引ですか？
前もって感謝します！