1. Security можно объективно сравнивать имея опыт в web-hacking, не думаю, что ошибусь, говоря о том, что у ТС, вряд ли, есть такой опыт. Фреймворк автоматически не сделает безопаснее результат с одной стороны, а с другой, то, что обсуждалось здесь, является достаточно зрелыми продуктами, откуда уже вычистили глупые косяки. В общем, пункт первый можно смело пропускать.
2. Внезапно: ЯП/фреймворк никогда не являются узким местом. Говорю имея опыт в hi-load проектах. Наитормознейший Ruby даёт ровно такой же быстрый обычный сайт, как и очень быстрый скомпилированный байт-код Java или среда .Net. Там, где нагрузка на сайт высокая, всё упирается в работу с БД. Hi-load проекты есть на любом фреймворке. Этот пункт надо тоже вычёркивать.
3. Вот что, действительно, важно. Делаем сложную форму делаем, а потом бац! И надо поменять detail-сущность, добавить поля, удалить поля, сделать привязку к чему-то через третью таблицу. А код уже на продакшене и таблицы непустые и прочие прелести. Я бы сравнил здесь механизм миграций и ActiveRecord с какой-нибудь другой технологией, если бы вместо тумана про энтерпрайз тут начали бы примеры показывать. Что бы показать, почему хибернейт всосёт.
4. Из всего, что пробовал, самым беспроблемным фреймворком показался Django. Но если советовать ТС смотреть на эти критерии, как она оценит не попробовав?