Feltöltött fájlokat hogyan tudnék külsőleg elérhetetlenné tenni?

https nélkül, és akár htaccess nélkül (azzal működik ugyan, de ha az sem lenne is jó lenne ha nem lehetne elérni a fájlokat közvetlen)?

Pl. a jófogás és az olx anno hogy oldotta meg hogy az erzékeny adatokat tartalmazó fájlok közvetlen url-t beírva nem elérhetőek?

Máshogy nem tudom elképzelni a fájlfeltöltést csak ha rendesen feltöltöm a fájlt, ennek viszont lesz egy url-e, amivel hozzá lehet férni, le lehet tölteni.

Gondoltam arra is hogy a fájl tartalmát / fread() / adatbázisba menteni, és aztán ha letöltésre kerül akkor írni egy tmp fájlba, de ez is hülye ötlet mert rengeteg helyet foglalna, lassú és karakterkódolási ütközés is lehet.