rekmixa , А если файл отдаваться будет apache'м, который зачастую под пользователем и работает
Много условий, можно ошибиться

Mobiaaa , об этом я и не подумал. а есть вообще такой chmod, чтоб и скачивать нельзя было напрямую и чтоб обработчик смог выдавать?

rekmixa , нет :)
по крайней мере на хостинге
На VDS можно расставить грамотно права
На хостинге же невозможно всё просчитать на 100%, это как закон подлости, что-то да забудете

такие права разве есть?

права есть любые от 000 и до 777
В любом варианте комбинирования цифр
И даже есть 1xxx 2xxx до 4xxx
Но это уже более углублённое распределение доступа, которое на обычных сайтах не требуется

<?php
$filename="/patch/to/no/web/file.type";
header("Accept-Ranges: bytes");
header("Content-Length: ".filesize($filename));
header("Content-Type: x-application/octet-stream");
header("Content-Disposition: attachment; filename=\"$filename\"");

$fp=fopen($filename,"rb");
if ($fp) fpassthru($fp);
flush();
?>


rekmixa , создай .htaccess с содержимым deny from all

Mobiaaa , достать список файлов директории ведь никак невозможно?

не всегда работает, т. к. nginx может выдать файл, игнорирую htaccess

Это может сработать, но фиг знает