Os arquivos no diretório "pages" serão publicados em "WEB-INF/pages" em tempo de publicação. O container disponibiliza segurança para todos os arquivos dentro de WEB-INF. Isto se aplica a requisições de cliente, mas não a envios para o DispatchServlet. Colocando todos os JSPs em WEB-INF garante que eles serão acessados apenas por Controllers, e não diretamente por um cliente. Isto permite que a segurança seja movida para dentro do Controller, onde pode ser tratada com maior eficiência, retirando ela da camada de apresentação.