linki il file con qualcusa tipo download.php?ID=1 , all'interno di download.php verifichi che l'utente sia loggato e possa scaricare il file, dopodiche richiami il file con header+readfile in modo che non possano vedere dove si trova il file (se cerchi sul forum trovi come fare)