DAtoteke stavi u direktorijum kme nece moci da se pristupi putem web-a.

Napravi skript koji ce da kao parametar dobiej ime datoteke, sam otvori datoteku procita je i salje u output ali pre toga proveri da li je korisnik ulogovan kako treba...

Ovaj skript bi trebao da pre slanja podataka, posalje odgovarajuce http zaglavlje.

Otprilike ovako nesto:

<?
Header("Content-Type: image/gif; name=\"$filename\"");
Header("Content-Length: ".filesize($filename));
Header("Content-Disposition: attachment; filename=\"$filename\"");
readfile($fullfilename) or die ("File read error");
?>

Ubaciš .htaccess fajl u neki dir i kažeš

Order Allow, Deny
Allow None
Deny All

Ja mislim da je tako, pogledaj u apache manual-u ima lepo objašnjeno. Onda u mysql-u čuvaš lokacije, imena i tip fajlova i kada je neko ulogovan šalješ ih u browser. Fajlove ucitavas preko apsolutne putanje čime se zaobilazi Apache te i sam .htaccess. Za uputstvo pogledaj ovo iznad, ili Filesystem functions u php manualu.