In the context of web application security, what is a significant advantage of placing JSP fragments within the /WEB-INF directory?

Đáp án đúng: "Files within /WEB-INF are not directly accessible through a URL, enhancing the security of sensitive code and resources.". Container coi /WEB-INF là vùng riêng của ứng dụng: không mẫu URL nào trỏ tới được, máy khách gõ thẳng đường dẫn thì bị từ chối, chỉ mã phía máy chủ mới chạm tới qua RequestDispatcher hoặc getResourceAsStream. Nhờ vậy các mảnh JSP chỉ hiển thị sau khi controller đã kiểm tra quyền, không ai xem được chúng rời rạc. Lựa chọn nói các tệp ở đó "automatically encrypted by the web container" là không có cơ sở, nội dung vẫn nằm nguyên dạng trên đĩa. Lựa chọn nói chúng "only accessible by users with administrative privileges" sai cơ chế, vì rào ở đây dựng theo đường dẫn chứ không theo vai trò người dùng. Lựa chọn nói chúng được "compiled and cached more aggressively by the web container" nhầm sang hiệu năng, trong khi vị trí thư mục không đổi cách dịch hay cách lưu đệm của trang.