Jsp是否放在WEB-INF下

如题，大家讨论下Jsp的位置？
个人觉得放在WEB-INF下能提高安全性

放在web-inf下，也就是在URL栏上无法直接访问jsp页面，个人觉得没有多大必要性。。  做一个filter就可以解决这个问题。而且你如果某个页面需要一个特别的拦截器，你在web.xml的filter配置中，将无法配置
主要是不让人家直接在地址栏上敲 URL 直接访问，因为有些页面需要先加载一些数据。譬如，有个下拉框中的数据需要从数据库中取出来的，直接访问这个 JSP 的话是没数据的。不过个人感觉没有什么必要，也没啥安全性可言，最多就是那个下拉框没数据呗，谁让他自己输啊。
我的后台是login.jsp登入成功后就直接转到用户管理user.do，获取user的信息，
问题是要是非管理员用户直接敲.../admin/user。do也能进入后台啊，要是他随便进行删除操作，这不危害很大？
这怎么办？
这个是可以的。
就是访问时不能直接用URL了，使用转发可以访问
挺高点安全性吧 ..不能通过Url直接访问..