Понял. А вот еще вопрос. Это сопутствующая задача. Касается уже видеоконтента. Тут необходимо, чтобы файл уже нельзя было скачать по прямой ссылке, даже через скрипт.
Может ли сервер как-то понять, запросил этот файл javascript-плеер, либо человек вручную нажал на ссылку? Есть ли какой-то идентификатор, кроме http_referer?
X-sendfile, и nginx в данном случае отдадут файл, если вручную запустить php скрипт отдачи.
Опустим условие, что скачивающий человек может написать свой javascript.