con il tuo sistema di protezione però l'utente potrebbe risalire, magari a tentativi, alla cartella e da li scaricare tutto quello ceh vuole giusto?

se i file sono in
download/file_protetti

anche se il tuo codice (a proposito grazie per la segnalazione) non mostra il percorso, uno potrebbe cercare di costruirlo.. a meno che non usi un nome criptico..