Ok, ho omesso due fattori.
1, all'area accederà esclusivamente il commercialista della ditta per cui faccio il sito

2, tutto il sito è protetto da un sistema di password con sessioni...

Il mio cruccio era sul metodo logico di come fare...
Fai un'area d'accesso, metti le fatture uploadate in un campo BLOB di mysql.
Il percorso, giusto?
con questo sistema non devi salvarti il nome del file... lo puoi generare al momento della visualizzazione del file. +
In che senso?