если набрать в строке браузера
http://сайт/download, то получим доступ ко всем файлам (не .php) в этой папке и всех вложенных папках.
И никакие запреты, выставленные в правах доступа не действуют.
Конечно, если поместить индехсный файл в папку, то разрешения сработают, но только на просмотр содержимого, но сами файлы, например архивные или doc, xls остаются доступными по прямой ссылке.
Вопрос, как запретить скачивание по прямой ссылке без авторизации?