Dafür braucht man nach meiner Meinugn keine Benutzerverwaltung.
Könnte doch einfach wo der Button zum download ist ein Code ausgeben. (CAPTCHA)
Wo 4 Buchstaben in einem Bild drin sind und man muss die 4 Buchstaben in ein Feld eintragen. Das vergleicht man dann mit der Session bevor man den download startet. So bekommt man die User zumidest auf die eigene Seite.