コントロールへのユーザー入力に対してアスタリスクをエコー出力することで、ユーザー入力をマスクします。
password="true|false"
デフォルトでは、コントロールは入力文字をエコー出力します。
<xp:inputText id="inputText1" value="#{document1.subject}">
<xp:this.password>
<![CDATA[#{javascript:session.getCommonUserName() != "Joe Bar"}]]>
</xp:this.password>
</xp:inputText>