1) правиш проверка, отваряш файла с php и го пускаш на стандартния изход с подходящи header-и.

2) правиш магарии с временни директории с генерирано име, свързано с $PHPSESSID, което да се пази в БД

3) htaccess

В първите 2 случая файлът трябва да е извън web дървото.

"Никоя армия не може да спре идея, чието време е дошло." - Виктор Юго