Misio: come dice k.b. è il browser che decide cosa fare dei file che trova su internet.
Se imposti gli header tramite uno script php (con più attenzione alla sicurezza) suggerisci al browser che il corretto comportamento da avere è quello di salvare il file e non di visualizzarlo.