1. Авторизуются, значит есть запись в базе. Пользователям в базу добавляются логические поля с названием папок (или скажем так: уровень доступа, можно сделать одно поле, но тогда каждому значению соответствует свой набор разрешённых директорий), в поля записывается флаг на скачку разрешено/запрещено (Да/Нет). Далее, перед скачкой, скрипт проверяет значение соответстующего поля конкретного пользователя (с именем названия папки) и в этом случае копирует или не копирует файл во временную папку.
2. - Для скачиваемых файлов придётся сделать разные папки в зависимости от уровня доступа.
3. Запрошенный файл копируется во временную директорию, случайный URL (название папки)
4. Ссылка на скачивание формируется динамически с этим случайным URL , её выдаёт скрипт, затем скрипт автоматически удаляет файл после скачки пользователем (или через некоторое время).