Создайте элемент, не присоединяя его к любому родительскому элементу, чтобы он был невидим для пользователя, и щелкните его в JS.
link = document.createElement("a"); //create 'a' element
link.setAttribute("href", "file"); //replace "file" with link to file you want to download
link.setAttribute("download", "file");// replace "file" here too
link.click(); //virtually click <a> element to initiate download
Клиент по-прежнему сможет видеть URL-адрес в коде JavaScript, если он хочет, но ссылка невидима.