metti il file in db, e lo lasci scaricare solo se dall'index è stata impostata una session...