اگر سرور آپاچی هست از .htaccess استفاده کنید. (روی ویندوز و IIS اصلا نمیدونم.)
و یا یک اسکریپت download بنویسید به این شکل:
کد PHP:
get the real download link from POST
save in session. prompt for username / password, validate against a database or file or loosely hard coded password
read the file
in PHP you can do via sending headers and then calling readfile.