Associ ad ogni pdf l'utente, il tutto lo inserisci in un db, poi nel momento in cui un utente clicca sul link del pdf, controlli se è veramente lui il proprietario del pdf e quindi lo mostri altrimenti no. Chiaro il concetto?