imponi che per accedere alla pagine di download bisogna per forza arrivare da quella di login ... ti basta un "HTTP_REFERER".