Hi,
auf diese Weise kannst du nicht verhindern, dass die Adresse angezeigt wird, da du die URL in einem neuen Fenster per GET öffnest.
Ich mache das normalerweise so:
Mit dem Button ein Submit eines Formulars auslösen (<form>), dessen action die URL ist und als method POST verwenden. Die Controllermethode muss dann entsprechend den POST Parameter verwenden und die Datei zurückgeben.
Kannst du damit etwas anfangen?