關於靜態資源是否應該放到WEB-INF目錄

首先，css/js/html沒有必要放在WEB-INF下。
最終這些會被原封不動的展現在客戶端，所以訪問安全根本就不會成為問題。
jsp放在web-inf下，原因主要有兩個

1. 遠古時代的模式會把業務邏輯，數據庫連接等敏感信息寫在jsp里面，被用戶直接訪問會有安全問題。
   現代模式里這個不再成為問題，不應該成為問題。
2. jsp是在服務器端運行的，而且通常都需要其他程序支持——比如后台處理好數據再讓jsp渲染等，用戶直接訪問一則沒有意義，二則會拋異常，這些都浪費服務器資源。