1а. уже ответили - сервлет может отдавать клиенту информацию любого плана
1б. что подразумевается под потоком из клиента на сервер? вообще - может.
ведь аплуд файлов из браузера по http возможен.

2а. не смог найти у себя в 4.1 файл modules.xml. в 5.0 - тоже. помню - где-то
видел как-то :) но не интересовался. нашел упоминание о нем в документации
к томкату 3.3:

http://jakarta.apache.org/tomcat/tomcat-3.3-doc/tomcat-ug.html
томкат 3.3
Prior to reading the server.xml file, Tomcat reads the modules.xml file which is also
found in the conf directory. This file specifies mappings between module names and the
class that implements the module. This simplifies the syntax in servers.xml and allows
you to update a module's class by updating just modules.xml. The server.xml, and
possibly other files, do not have to change.


2б. каталога conf/users у меня также нет. также есть упоминание о ней в
процитированном мной документе:

томкат 3.3
conf/users - Directory containing user name/password configuration files.
These are used by the SimpleRealm module for authentication.


кажется мне, что этот каталог сейчас замещен файлом tomcat-users.xml. служит
он понятно для чего?

2в. не знаю. слишком расплывчат вопрос о правах к классу