Coloque os arquivos fora do webroot. Em seguida, usando o PHP, passe o arquivo por meio de um script. Dessa forma, ninguém pode vincular diretamente ao arquivo e ignorar seus controles. (Naturalmente, certifique-se de que o script que faz isso somente após verificar se o usuário tem permissão para recuperar esse arquivo).
Exemplo de PHP:
<?php
if (!isset($_SESSION['authenticated'])) {
exit;
}
$file = '/path/to/file/outside/www/secret.pdf';
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename=' . basename($file));
header('Content-Transfer-Encoding: binary');
header('Expires: 0');
header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
header('Pragma: public');
header('Content-Length: ' . filesize($file));
ob_clean();
flush();
readfile($file);
exit;
?>
