在J2EE中其主要安全性就体现在web工作目录的WEB-INF文件夹下.如果将一个页面保存在WEB-INF文件下 ，那么该页面则不能被用户访问,就好比小偷都看不见我有什么，他还能知道要偷什么吗.. 因此如果将一个页面放在WEB-INF文件夹下，那么该页面的安全性将得到提高... 但有时候当我们需要访问该页面时，却无法访问，如何能够访问WEB-INF文件夹下的页面呢？
struts为此提供了很便捷的跳转环境。在struts中每一个跳转都是通过一个action来处理的，action处理完了之后在forward到相对地址就行，这个很简单。
但是问题是如果我不通过action来处理跳转，我想直接从web-inf的a.jsp页面跳到b.jsp页面怎么办呢？通常这个时候我们会试下相对地址/b.jsp 绝对地址/WEB-INF/b.jsp或者<%=request.getContext()=%>/WEB-INF/b.jsp，但无论怎么搞都不行，这个时候就比较崩溃。想直接跳转从安全性的角度来看肯定不行的，因为在WEB-INF底下web容器是不让你看见他的跳转路径的。直接跳转不行，间接跳转还是有的，比如struts的action跳转就是一种间接，为什么间接就是安全的呢？因为它的跳转地址是在web.xml里面配好的，访问的人是看不见的所以是间接安全的。难道只有struts可以完成间接的任务，显然不是了。其实想一想struts的action是什么东西就知道怎么做了，struts的action说白了还是一个servlet,所以可以通过servlet来完成任务了。
首先在web.xml里面配置servlet和servlet mapping
<servlet> <servlet-name>goto</servlet-name> <jsp-file>/WEB-INF/jsp/test.jsp</jsp-file>--要跳转到的页面 </servlet> <servlet-mapping> <servlet-name>goto</servlet-name> <url-pattern>/test</url-pattern> </servlet-mapping>
配置好了之后在jsp页面里用a就可以跳转了<a href="/工程名/test">测试页面跳转</a>--这里一定要“/工程名/test”
通过servlet跳转还是比较麻烦了，但是这样能保证JSP页面的安全性，想两全其美是比较难的了。
当然如果安全要求不高，那就可以做成很简单的了，直接把所有的jsp页面全部放在webRoot底下，在WebRoot下页面用户可以直接输入地址访问。
转载于:https://www.cnblogs.com/FengzZ/p/4921653.html
