може би единственото сигурно решение за тебе е да си стриймваш контента през скрипта, като генерираш файл с уникално име (пр. md5+unique_id) и го оставяш за даден период от време (пр. 1 час, ще си напишеш някакво gc дето да ти ги трие после), като записваш уникалното ид в куки на клиента (може и със сесията, която трябва да не експайрва веднага), за да можеш да имаш поне някаква ориентировка и да съпоставяш кой какво тегли

по този начин генерираните файлове не трябва да си ти в уеб роот-а (което е достатъчно голям плюс)

но в никакъв случай не банвай ИП-та, щото хората с динамични ИП-та, корпоративни мрежи и т.н. ще "клекнат"