Sto guardando un po' in giro e copiando degli esempi:
il file che chiamo dal browser è "provadoc.php":

<?php
$file_mime = "application/pdf";
header("Content-Type: $file_mime");
readfile("prova/doc.pdf");
?>

Così ottengo di aprire un file .pdf (tramite il browser) che non posso leggere se inserisco il percorso direttamente nel browser. Ho raggiunto il mio scopo, certo nella pagina "provadoc.php" dovrò verificare se l'utente ha effettuato il login, ma questo già so farlo (grazie el forum).

Ora vedo come far partire il download invece di aprire il file nel browser...

Daniele