Il processo è
- le credenziali sono giuste?
- se si, leggi un file e restituisci il contenuto al browser con gli header giusti (tipo file, forza il download
- se no, l'utente riceve un messaggio di errore

Il codice da scrivere, una volta che lo scomponi, è basilare