Обслуживание jsf-страницы / ресурсов от WEB-INF

Question

Я понимаю, что один из способов обслуживания страницы / ресурса jsf из любого места - через RequestDispatcher#forward()

например, ответ на http://domain/contextpath/someotherlink.xhtml может быть сопоставлен

/WEB-INF/serving.xhtml

расположение ресурса с request.getRequestDispatcher("/WEB-INF/serving.xhtml").forward(request, response)

но расположение отображаемой страницы отображается в компоненте действия, как <h:form>

т.е. <form method="post" action="/contextpath/WEB_INF/serving.xhtml" >даже с OCPsoft Rewrite URLRewriteFilter.

@Alex Tsurika сделал предложение образца, но JSF Expert @Balusc прокомментировал дыру в безопасности этого подхода, хотя он предложил тот же подход диспетчеризации

Вопрос:

1. как можно уменьшить эту дыру в безопасности, как поднял @Balusc (ОБНОВЛЕНИЕ: я думаю, ни одна из них, поскольку @Balusc очистил ее в комментарии)

2. как может <form method="post" action="/contextpath/someotherlink.xhtml" > будет отображаться вместо <form method="post" action="/contextpath/WEB_INF/serving.xhtml" >

чтобы решить вопрос, заданный @Paul H

Можно ли отправить форму, созданную на странице JSF в WEB-INF?

Благодарю.