Dynamisk beskyttelse af filer til download

Jeg skal lave et system hvor man via et admin interface kan tilføje filer til en mappe, som en bruger der logger ind, senere kan hente. Man må ikke kunne hente filer fra en mappe man ikke har fået rettigheder til.

Nu er spørgsmålet...hvordan gør man dette bedst? Jeg har desværre ikke mulighed for at kunne uploade filer til en mappe uden for roden, så derfor kommer mappen med filerne til at ligge et sted man kan få adgang til med browseren.

Jeg har tænkt på om man kunne bruge loctation auth, hvor man med roles, beskriver hvilke mapper og filer hvilke roller må bruge. Det skal køre dynamisk, så kan man lav kode som:
<location path="SomeFolder/SecureDownload/">
    <system.web>
        <authorization>
            <deny users="*" />
            <Allow .../>
        </authorization>   
    </system.web>
</location>
i en xml fil, så det bliver overholdt? (har ikke lyst til at skulle rette i web.config, og ved heller ikke om man kan det)

Eller...er det her httpmodules kommer ind i billedet? Kan man ikke deffinere dem således de bliver kaldt hver gang der sker et request i en bestemt mappe?

Eller har i andre ideer?