Такая задача: отчет выложен на сервер с помощью JRC. Вызов будет происходить из Oracle Forms простым открытием окна с подставленным адресом отчета. Вопрос в том, как передать необходимые параметры (login/password) в jsp-страницу так, чтобы они не "светились" в строке браузера?

VLLVЕсли открывать отчет планируете с помощью openDocument.jsp - то лучше всего через промежуточную страницу, в коде которой авторизуйтесь со статическим логином и паролем. Авторизацию в CMS и получение token'а делайте в ней, а затем только открывайте редиректом на openDocument.jsp собственно сам отчет, передавая в качестве параметра полученный token.

Ну, в общем так и сделано, на основе примеров. Сначала загружается страница подготавливающая report-source, затем идет редирект на страницу с viewer'ом. Проблема в том, что первая страница получает имя/пароль в строке параметров, соответственно, они мелькают в браузере.