Если это статический SWF-файл, просто поместите его в общедоступный путь и разрешите Tomcat использовать его в качестве статического файла. Если вы генерируете SWF-файл динамически, ServletResponse.getWriter() прекрасно, если вы не забыли установить HTTP-заголовок Content-type на application/x-shockwave-flash. Вы можете сделать это непосредственно перед записью в выходной поток с помощью ServletResponse.setContentType() следующим образом:
resp.setContentType("application/x-shockwave-flash");
Вы также можете подумать о настройке некоторых заголовков, связанных с кэшированием HTTP, таких как Cache-Control и Expires, если хотите, чтобы браузеры могли кэшировать ваши SWF-файлы. Вы можете сделать это с помощью HttpServletResponse.setHeader() или HttpServletResponse.addHeader(). Для случая статического SWF-файла вам нужно будет установить заголовки кэширования в Filter, сопоставленном с <url-pattern>.
Еще один момент, о котором стоит упомянуть, это то, что ссылки на SWF-контент в кросс-браузерном стиле, который обходит раздражающее поведение с дополнительным щелчком в некоторых версиях MSIE , превратились в какую-то черную магию. Я рекомендую использовать библиотеку SWFObject (размещенную в Google Code), чтобы абстрагироваться от уродства.