MVC: Controller leitet ohne Authentifizierung weiter

[console]

Morgen, der Titel sagt ja eigentlich schon alles. Ich habe einen Controller der an eine geschützte JSP weiterleiten soll:

Controller Auszug

if (choice.equals("profil"))
		{
			target = "bla/myprofil.jsp";
		}

RequestDispatcher dispatcher = req.getRequestDispatcher(target);
		dispatcher.forward(req, res);

In der Web.xml hab ich die komponenten wiefolgt geschützt:

Web.xml

<servlet>
    <description>bla</description>
    <display-name>Controller</display-name>
    <servlet-name>Controller</servlet-name>
    <servlet-class>bla.Controller</servlet-class>
  </servlet>
  
  <servlet-mapping>
    <servlet-name>Controller</servlet-name>
    <url-pattern>/Controller</url-pattern>
  </servlet-mapping>
  
  <security-constraint>
	<web-resource-collection>
	  <web-resource-name>myResourceCollection</web-resource-name>
	  <url-pattern>/bla/*</url-pattern>
	  <http-method>GET</http-method>
	  	  
	</web-resource-collection>

Rufe ich die Seite per bla/myprofil.jsp direkt als Link auf, kommt auch die Loginseite, leite ichs über den Controller kommt die Loginseite nicht und ich gelange direkt auf die myprofil.jsp Seite. So, Preisfrage, wie kann ich die Seite trotz Controllerweiterleitung deklarativ schützen?

Freue mich auf Antworten