Через htaccess и прокси php, нагружает сервер приложений, но позволяет ограничивать доступы к файлам.

пруф http://wordpress.stackexchange.com/questions/37144/how-to-protect-uploads-if-user-is-not-logged-in