将文件放在webroot之外。然后使用PHP通过脚本传递文件。这样，任何人都无法直接链接到文件并绕过控件。（自然地，请确保仅在验证用户具有检索该文件的权限之后执行此操作的脚本）。
示例PHP：
<?php if (!isset($_SESSION['authenticated'])) { exit; } $file = '/path/to/file/outside/www/secret.pdf'; header('Content-Description: File Transfer'); header('Content-Type: application/octet-stream'); header('Content-Disposition: attachment; filename=' . basename($file)); header('Content-Transfer-Encoding: binary'); header('Expires: 0'); header('Cache-Control: must-revalidate, post-check=0, pre-check=0'); header('Pragma: public'); header('Content-Length: ' . filesize($file)); ob_clean(); flush(); readfile($file); exit;?>
