Запуск xpage на клиенте происходит примерно так: клиент получает элемент дизайна xpage, по нему создает сервлет, поднимает локальную jvm, поднимает локальный nhttp ( с контейнером сервлетом ) и деплоит туда сгенерированный сервлет. Далее, запускает xulrunner - рендерер html, который и общается с локальным сервлетом по http. Т.е. действует по принципу "сам себе сервер".
И в этой схеме вылезает проблема security: часть операций ( напр. обращение к java.net.URLConnection ) считаюца несекьюрными и не будут выполняца в этом режиме. Подробно можно почитать тут:
Ссылка скрыта от гостей