tomcat安全有关问题

tomcat安全问题
tomcat如何限制用户添加资源的下载，比如说发布的jar文件，只要用户知道路径就可以下载，可是这些文件必须下载才能运行applet，怎么办？

[解决办法]
applet是自动下载的吧？相关文件只能通过普通下载才能下载吧。
[解决办法]
凡是需要控制的资源都放WEB-INF下保护，
对这些资源的请求都根据URL匹配规则引导到某些Filter/Action/Servlet上，在这些地方对用户进行权限验证，有权则回jar文件给请求。