Как избежать проблем XSS при нажатии ссылки HTML, чтобы получить файл из базы данных и отобразить его на новой вкладке?

В обратном вызове успешного запроса AJAX мне нужно добавить ссылку на модальное окно. Атрибут href ссылки указывает на маршрут API, который вызывает метод контроллера Spring Boot, который записывает PDF-файл, хранящийся на серверной стороне, в объект Response. Пользователь может щелкнуть ссылку, чтобы открыть новую вкладку, в которой отображается PDF-файл.

ЯС:

success: function (data) {    
  var fileId = data.id
  $('#modalBody').append(`<a id = "viewFile" target = "_blank" href = "../api/getFile?fileId=${fileId}">View File</a>`)
}

Контроллер:

    @RequestMapping(value = "api/getFile", method = RequestMethod.GET)
    public void getFile(HttpServletResponse response, @RequestParam(value = "fileId") String fileId) {

        Response fileResponse = fileService.getInputStream(fileId);
        if (fileResponse == null) {
            response.setStatus(500);
            return;
        }
    
        InputStream is = response.body().byteStream();
        response.addHeader(HttpHeaders.CONTENT_DISPOSITION, "inline;filename=sampleFile.pdf");
        response.setContentType("application/pdf");
        
        IOUtils.copy(is, response.getOutputStream);
        response.setStatus(202);
        response.flushBuffer();
        is.close();
        fileResponse.close();
    }

Проблема в том, что инструмент сканирования уязвимостей помечает href как проблему XSS, поскольку я передаю непроверенные данные в качестве параметров запроса во внешний интерфейс. Есть ли другой способ открыть файл, полученный из серверной части, при нажатии на ссылку HTML?

Я попробовал использовать обработчик событий щелчка и установить для href маршрут по умолчанию, но он просто открывает текущую страницу вместо файла на новой вкладке. Есть ли у кого-нибудь предложения о том, как избежать передачи параметров запроса по маршруту href и как использовать onclick вместо href?