certo controlli tramite un file php se l'utente è abilitato e usi header e readfile per inviare il file come è spiegato nella pillola di daniele

I file protetti con quel htaccess sono raggiungibili da script ma non da browser, il file php serve da ponte per inviare il file