Per salvaguardare il download di file a solo utenti registrati io metto un file .htaccess nella stessa cartella ove ci sono i file da far scaricare, file .pdf solo a utenti registrati. Nel file .htaccess ci sono queste poche righe:
<FilesMatch "\.pdf$">
Deny from all
</FilesMatch>
Stai sicuro che adesso nessuno può scaricare nulla anche conoscendo l'url diretto, mentre se metti il link all'url in un articolo a cui possono accedere solo utenti registrati questi file saranno scaricabili, non so se con email e qualche token è possibile replicare la situazione però.