Merged bad-response-for-missing-files [r=fabricematrat,ack] [f=1436978].

Validate sanity of the requested filenames up front, and return a 400 Bad Response code if any of them are bogus.

This removes the previous behaviour of including the missing filenames in the response code (since that's an attack window)