Есть ли способ включить или предложить флаг только для чтения как часть размещения содержимого: вложение; filename = document.doc или другой заголовок http?
Я бы сильно не подозревал. Как правило, вы не имеете никакого контроля над локальной файловой системой браузера (как и должно быть), поэтому вы не можете указать, что файл доступен только для чтения, архивируется, скрыт и т. Д.