Ich habe ein Document Root html, wo die download.php liegt:
/html/download.php (erreichbar unter www.example.com/download.php)

Ich habe einen Ordner für Downloads (für jede meiner Domains ein anderes) , welches oberhalb des Document Root liegt.
/files/<domain>/_data/files (die Domain wird von der download.php ermittelt.

Mach eine interne Tabelle als Map von {number => /path/file}, lege als Parameter file=number in die Klick-Links und Du ersparst Dir das Gefummel mit den Pfadangaben und schreibst Dir keine sicherheitsbedenklichen Geschichten.

1. Was meinst Du für ein Gefummel?
Ich finde es sehr komfortabel, wenn ich per www.example.com/download?file=/infomaterial/Manual.pdf
die Datei /file/www.example.com/_data/files/infomaterial/Manual.pdf ausliefern kann.

2. Was genau ist daran sicherheitsbedenklich?
Über die download.php gelangt man NUR in diesen einen Ordner. Oder übersehe ich etwas?

Eine solche Konfiguration ist einfacher zu pflegen als der Programmcode, des Weiteren kann dafür auch ein Basisverzeichnis konfiguriert sein und die Download-Liste kann aus der Konfiguration heraus automatisch erstellt werden.

3. Was soll daran leichter zu pflegen sein?
Die Map aktuell halten, jedes einzelne Dateichen dort einzutragen finde ich ziemlich aufwändig. Außerdem finde ich es nicht schön, wenn aus den Dateien nur Nummern werden. So sagt einem der Link überhaupt nichts über den zu erwartenden Inhalt!

Bin gespannt.

Cheers,
Baba