ci sono 1000 modi per proteggere dei file, oltre alle protezioni a livello di permessi, puoi trovare degli espedienti via php

io faccio scaricare il file attraverso php, l'utente non saprà mai dove è ubicato il file