Вы также можете изменить имя папки с лица на jsp, например, так:
<servlet-mapping>
<servlet-name>Faces Servlet</servlet-name>
<url-pattern>/jsp/*</url-pattern>
</servlet-mapping>
<session-config>
<session-timeout>
30
</session-timeout>
</session-config>
<welcome-file-list>
<welcome-file>jsp/index.jsp</welcome-file>
</welcome-file-list>
И тогда ваш URL будет выглядеть так:
http://localhost/WebApplication/jsp/folder1/page.jsp
и если вы развернете свое приложение в контекстном пути / сервера приложений, оно будет выглядеть так:
http://localhost/jsp/folder1/page.jsp
теперь будет сложно выяснить, что вы используете JSF для ламеров ;-), но хакер может исследовать это, указав в своем браузере URL-адрес, подобный этому http://localhost/folder1/page.jsp