Como eu faço para que caso o usuário tente acessar a página pela url ele seja redirecionado para a página de login ou para uma pagina de acesso negado?
No spring mvc criamos uma pasta para colocar os JSP’s dentro da pasta WEB-INF e no seu XML de configuração vc informa onde estão os JSP’s. Como vc está usando o JSF vc teria que ver se é possível fazer isso no JSF. Como não conheço o JSF não sei como ajudar neste aspecto. Como vc não consegue acessar direto o conteúdo do WEB-INF então não será possível acessar a página diretamente a partir do JSP.