dizzy7: я использовал jmsdiextrabundle, приходилось писать больше строчек кода.) eloquent тоже логируется, расширяется. Лично для меня AR > QB > ORM. Генераторов море почти для всего кода и очень удобные. события - знаю про всякие onKernelRequest итд, но там еще надо следить за priority. В ларавеле это все гибче.
Outoverlay: само собой будет доступно. Это надо ограничивать со стороны сервера. X-Frame-Options идет наряду с CORS - чтобы сузить потенциал "хакеров" в пределах браузера.