cronologia

nel mio sito ho implementato un'area protetta. i links ai files downloadabili non sono diretti, ma sono del tipo @scarica.php?file=nomefile.zip (dove lo scrip scarica.php è accessibile solo tramite una password). questo per fare in modo che l'utente non sappia dove risiedono effettivamente i files.
ho provato con redirect di ogni tipo, javascript, php ecc.. ma il problema è che il file appena scaricato apparirà nella cronologia, e basterà che l'utente ci passi sopra con il puntatore, per vedere il percorso reale.

potrei proteggere la sezione per fare in modo che l'utente, scrivendo il percorso diretto nella barra dell'indirizzo, venga bloccato,
ma poi all'utente che accede tramite script php (e che quindi ha già inserito una password decisa da me) toccherebbe mettere user e pass ogni volta che scarica un file...

quindi, come faccio per impedire tutto ciò?

spero possiate aiutarmi perché è importante :)