■

http://localhost:8080/jsf/faces/WEB-INF/web.xml

とやると、見えてしまうよorz
Servletマッピングが、/faces/*の場合。
/*.jsfとかだと見えないらしい（こっち未確認）

それはまずいだろ・・・

最近、Webアプリケーションのセキュリティって
非常にクリティカルなのにねえ〜。
WAF（Web Application Firewall）とか必要とか世間では
言われてるらしい。。。

オープンソース製品だとAcegi Securityってこの部類かな？
あれSpring用だけどさ。