我已经设置了一些代码来下载存在于web根目录上方文件夹中的zip文件。下载将从WordPress内的用户帐户页面触发。它们不需要是银行级安全的，但我希望阻止从站点外部直接访问文件，并使其仅可供具有正确权限级别的用户访问，并且只能从相应的用户帐户页面访问。该站点完全是https。

zip文件所在的文件夹通过htaccess进行保护。

分配给特定用户角色的每个用户将在其“帐户”页面上看到一个下载链接：

if(current_user_can(\'download_these_files\')){
    $SESSION[\'check\'] = \'HVUKfb0IG1HIzHxJj5fZ\';
    ?>
        <form class="user-file-download-form" action="/download.php" method="POST">
            <input type="submit" name="submit" value="Download File">
        </form>
    <?php
}

session_start();
if( isset( $_POST[\'submit\'] ) ){
    $check = $_SESSION[\'check\'];
    if( $check === \'HVUKfb0IG1HIzHxJj5fZ\' ){
        $file = /path/to/file/above/root.zip;
        header(\'Content-Description: File Transfer\');
        header(\'Content-Type: application/zip\');
        header(\'Content-Disposition: attachment; filename=\' . basename($file));
        header(\'Content-Transfer-Encoding: binary\');
        header(\'Expires: 0\');
        header(\'Cache-Control: must-revalidate, post-check=0, pre-check=0\');
        header(\'Pragma: public\');
        header(\'Content-Length: \' . filesize($file));
        ob_clean();
        flush();
        readfile( $file );
        exit;
    }else{
        header( \'Location: https://example.com/404page/\' );
}else{
    header( \'Location: https://example.com/404page/\' );
}

非常感谢。