یه روش هست که میشه pdf رو مجبور به لود شدن توی مرورگر کرد :
Content-Type: application/pdfContent-Disposition: inline; filename="filename.pdf"یکم کار میبره ولی میشه براش secure key گذاشت بعد یه token که هر روز منقضی بشه اینجوری میشه جلوی دسترسی به دایرکتوری اصلی رو گرفت ( filename.pdf تو مرورگر توسط یه php پردازش میشه )