WEB-INF 是受保护目录，WEB-INF里面的文件只可以由servlet去访问，不能通过url地址栏去请求访问 WebRoot根目录下面的文件可以直接通过url地址栏去访问，一般的index.jsp就放这里
一般的可以把所有的页面展示的jsp，js，css，图片都放到WebRoot下面，也可以都放到WEB-INF下面，这个没有定论 放到WEB-INF下面的，也都是通过servlet去跳转的页面，都可以访问 一般的正式系统，是没有index.jsp这样的页面的，首页都是通过action去跳转请求出来的
一些比较隐私的，不愿被所有人看到的页面，可以放到WEB-INF下面，由action去控制查看权限等 实际中，放到WebRoot 下面和 WEB-INF 下面都可以的，WebRoot 下面多一点。
观点一：（较为赞同） 安全性不是真正的原因，因为jsp是要解析后才显示到浏览器的，即使用户知道你jsp的路径，也不可能通过浏览器看到jsp源码的，而如果是通过其它手段入侵服务器的话，放在WEB-INF又和放在别的地方有什么区别呢？？？ 真正的原因是，对于早期直接嵌入java代码的jsp，是直接给出jsp路径给用户访问的，这种情况恰恰不能放在WEB-INF，而到了现在的mvc模式，jsp已经不是曾经那个包含完整逻辑的jsp，而仅仅充当view层的模板，必须要填入model数据后进行渲染，才能生成可读的页面，这样的模板是不能让用户直接访问的，直接访问的话要么是一堆各种空白，或者一堆占位符，甚至一堆NullPointException，所以需要放到WEB-INF里。补充一下，“安全性问题”指的是“不允许你访问，否则会对我不好”，而这里的情况其实是“不建议你访问，否则会对你不好”，应该属于健壮性的范畴。
观点二： 放到WEB-INF下的Jsp文件，如果你直接去访问这个Jsp是不可以的，必须通过Action的跳转，这样就能够理解为什么安全性高了，对于用户是不可见的，对于一些对于用户，可以直接访问的，如，登录，注册页面，可以直接放在webroot下，这个也是根据你系统的需求了。
观点三： 通过设置过滤器，放在webroot下面的文件也可以实现不能直接访问。所以说放在哪里就看习惯是什么样了。 一般项目都是要求隐藏性的，只让客户通过请求访问而不是直接访问jsp页面。若放在webroot下面，肯定要加一个过滤器阻止所有对*.jsp的访问。只要比较的话： 放在webroot下面:优点，程序结构清晰，便于编码和维护；缺点，要加过滤器。 放在web-inf下面：优点，不用过滤器；缺点，打乱了程序结构，编码和维护麻烦 观点四： 为了减少风险，可以把这些页面文件移到WEB-INF 目录下。基于Servlet的声明，WEB-INF不作为Web应用的公共文档树的一部分。因此，WEB-INF 目录下的资源不是为客户直接服务的。我们仍然可以使用WEB-INF目录下的JSP页面来提供视图给客户，客户却不能直接请求访问JSP。JSP存放在 WEB-INF 目录下更为安全
来源：http://www.cnblogs.com/lijibiao/p/5701766.html