У меня таких проблем не было вот почему:
1. Статику у меня раздаёт nginx. Стоит как прокси перед сервисом. И безопаснее, и надёжнее, и со статикой он лучше работает.
2. Если отдаю файл, отдаю через web.FileResponse в котором можно указать хедеры напрямую
Кстати говоря про такие штуки. Я же сейчас пишу арт блог и туда пикчи естественно выгружают и вроде все норм, но мне нужен контроль за тем, что пикчи нельзя посмотреть раньше, чем вышел пост (а у поста есть возможность хранить его недописанным в скрытом режиме или в режиме отложенной публикации). И вроде нжинкс не смогёт делать что-то для регулирования такого, да? Остается только отдавать его флаской?