Mit einem IFrame steht allerdings die Download URL trotzdem noch dort, wo der Download runtergeladen wird (Browser, etc.)
Um einen direkt Zugriff komplett zu verhindern musst du, wie Slava schreibt, mit readfile() bzw. fread() arbeiten!
__________________
▇█▓▒░◕‿‿◕░▒▓█▇ |