Segurança .WAR + MVC

Amigo, o teu conceito de MVC está totalmente errado, o MVC tem a finalidade, a grosso modo, de tornar a aplicação mais escalavel, não mais segura. Mas até que, pensando de certa forma, usando o MVC você não vai ter regras de negócio em javascript por exemplo, o que torna a sua aplicação menos “piratiavel” (boa essa neh :)).

Quanto aos .class, eles são facilmente convertidos para .java novamente com algumas ferramentas que você pode baixar na internet. Criptografica em .class eu não sei, mas você pode usar um ofuscador para tornar o java gerado a partir do .class quase que indecifrável.

O MVC define que sua aplicação terá pelo menos 3 camadas:

• Model - onde estão as classes de negócio da sua aplicação.
• View - classes responsáveis pela sua GUI
• Controller - lógica que define o que a aplicação irá fazer com as ações e dados entrados pelo usuário.
  A idéia é isolar classes que cuidam da persistencia dos dados das classes que são responsáveis pela exibição desses dados, facilitando a manutenção do sistema, reuso de código e extensibilidade da aplicação.

Vejo que procura entender MVC WEB. Então recomendo as 3 primeiras páginas deste link: http://www.guj.com.br/posts/list/129277.java
Vou adicionar este tópico como referência na lista de links sobre MVC que estão na primeira postagem do link que passei. Espero ter colaborado!