Il parametro filename dell'header Content-Disposition deve contenere il nome del file, non un URL o un path.