验证成功后可以进入成功页面，但是我的成功页面是放在webroot下，直接输入网址进去，这样验证不就没有意义了吗，成功页面应该放在哪，让通过验证的用户才能进入？
需要验证的页面应该加上判断，如果没有登录，先跳转到登录页，才行。
WEB-INF下的文件都是无法直接通过输入url访问的，可以放在那下面
放在哪都一样，关键是你怎么制定验证机制，访问任何一个需要认证的界面，如果未认证，你都需要跳转到验证界面
除了登陆页面登陆验证意外，一般会在需要登入的页面上添加验证，jsp可以考虑使用过滤器在进入特定页面前进行验证，验证失败返回登陆页