Как защитить загруженные файлы от неавторизованных пользователей?

Два способа: простой в 2. с помощью правила Apache или в 1. с помощью пользовательского кода в плагине.

1. Плагин

Вы можете написать плагин, используя хук init и получение значения $_GET[ 'file' ];. Если пользователь имеет это GET-значение, перейти в функцию для проверки прав доступа к файлам: Например, с помощью чекбокса внутри Meta Box.

add_action( 'init', 'fb_init' );
function fb_init() {
    // это в функции для хука init
    if ( '' != $_GET[ 'file' ] ) {
        fb_get_file( $_GET[ 'file' ] );
    }
}

функция fb_get_file()

function fb_get_file( $file ) {

    $upload     = wp_upload_dir();
    $the_file   = $file; 
    $file       = $upload[ 'basedir' ] . '/' . $file;
    if ( !is_file( $file ) ) {
        status_header( 404 );
        die( '404 — Файл не найден.' );
    }
    else {
        $image = get_posts( array( 'post_type' => 'attachment', 'meta_query' => array( array( 'key' => '_wp_attached_file', 'value' => $the_file ) ) ) );
        if ( 0 < count( $image ) && 0 < $image[0] -> post_parent ) { // вложение найдено и родитель доступен
            if ( post_password_required( $image[0] -> post_parent ) ) { // пароль для записи недоступен
                wp_die( get_the_password_form() ); // показать форму пароля 
            }
            $status = get_post_meta( $image[0] -> post_parent, '_inpsyde_protect_content', true );

            if ( 1 == $status &&  !is_user_logged_in() ) {
                wp_redirect( wp_login_url( $upload[ 'baseurl' ] . '/' . $the_file ) );
                die();
            }
        }
        else {
            // не стандартное вложение, проверка на миниатюру
            $filename   = pathinfo( $the_file );
            $images     = get_posts( array( 'post_type' => 'attachment', 'meta_query' => array( array( 'key' => '_wp_attachment_metadata', 'compare' => 'LIKE', 'value' => $filename[ 'filename' ] . '.' . $filename[ 'extension' ] ) ) ) );
            if ( 0 < count( $images ) ) {
                foreach ( $images as $SINGLEimage ) {
                    $meta = wp_get_attachment_metadata( $SINGLEimage -> ID );
                    if ( 0 < count( $meta[ 'sizes' ] ) ) {
                        $filepath   = pathinfo( $meta[ 'file' ] );
                        if ( $filepath[ 'dirname' ] == $filename[ 'dirname' ] ) { // текущий путь миниатюры
                            foreach ( $meta[ 'sizes' ] as $SINGLEsize ) {
                                if ( $filename[ 'filename' ] . '.' . $filename[ 'extension' ] == $SINGLEsize[ 'file' ] ) {
                                    if ( post_password_required( $SINGLEimage -> post_parent ) ) { // пароль для записи недоступен
                                        wp_die( get_the_password_form() ); // показать форму пароля 
                                    }
                                    die('dD');
                                    $status = get_post_meta( $SINGLEimage -> post_parent, '_inpsyde_protect_content', true );

                                    if ( 1 == $status &&  !is_user_logged_in() ) {
                                        wp_redirect( wp_login_url( $upload[ 'baseurl' ] . '/' . $the_file ) );
                                        die();
                                    }
                                }
                            }
                        }
                    }
                }
            }
        }
    }
    $mime       = wp_check_filetype( $file );

    if( false === $mime[ 'type' ] && function_exists( 'mime_content_type' ) )
        $mime[ 'type' ] = mime_content_type( $file );

    if( $mime[ 'type' ] )
        $mimetype = $mime[ 'type' ];
    else
        $mimetype = 'image/' . substr( $file, strrpos( $file, '.' ) + 1 );

    header( 'Content-type: ' . $mimetype ); // всегда отправлять это
    if ( false === strpos( $_SERVER['SERVER_SOFTWARE'], 'Microsoft-IIS' ) )
        header( 'Content-Length: ' . filesize( $file ) );

    $last_modified = gmdate( 'D, d M Y H:i:s', filemtime( $file ) );
    $etag = '"' . md5( $last_modified ) . '"';
    header( "Last-Modified: $last_modified GMT" );
    header( 'ETag: ' . $etag );
    header( 'Expires: ' . gmdate( 'D, d M Y H:i:s', time() + 100000000 ) . ' GMT' );

    // Поддержка условных GET-запросов
    $client_etag = isset( $_SERVER['HTTP_IF_NONE_MATCH'] ) ? stripslashes( $_SERVER['HTTP_IF_NONE_MATCH'] ) : false;

    if( ! isset( $_SERVER['HTTP_IF_MODIFIED_SINCE'] ) )
        $_SERVER['HTTP_IF_MODIFIED_SINCE'] = false;

    $client_last_modified = trim( $_SERVER['HTTP_IF_MODIFIED_SINCE'] );
    // Если строка пуста, вернуть 0. Если нет, попытаться преобразовать в метку времени
    $client_modified_timestamp = $client_last_modified ? strtotime( $client_last_modified ) : 0;

    // Создать метку времени для нашего последнего изменения...
    $modified_timestamp = strtotime($last_modified);

    if ( ( $client_last_modified && $client_etag )
        ? ( ( $client_modified_timestamp >= $modified_timestamp) && ( $client_etag == $etag ) )
        : ( ( $client_modified_timestamp >= $modified_timestamp) || ( $client_etag == $etag ) )
        ) {
        status_header( 304 );
        exit;
    }

    // Если дошли до этого места, просто отдать файл
    readfile( $file );
    die();
}

Вы также можете добавить пользовательский URL для файлов через хук generate_rewrite_rules

add_filter( 'generate_rewrite_rules', 'fb_generate_rewrite_rules' );

function fb_generate_rewrite_rules( $wprewrite ) {
        $upload = wp_upload_dir();
        $path = str_replace( site_url( '/' ), '', $upload[ 'baseurl' ] );
        $wprewrite -> non_wp_rules = array( $path . '/(.*)' => 'index.php?file=$1' );
        return $wprewrite;
}

2. Проверка Cookie через Apache

Оставьте новый файл .htaccess внутри директории /wp-content/uploads/. Или другой определенной директории для загрузок.

Как это работает

Внутри контейнеров <IfModule> есть три правила, которые выполняют следующее:

1. Проверяют, является ли запрос файлом
2. Проверяют отсутствие cookie, начинающейся с wordpress_logged_in_
3. Если эти условия выполняются, запрос файла отклоняется с ответом 403 "Запрещено"

Хитрость здесь в шаге 2 — проверка отсутствия cookie, начинающейся с wordpress_logged_in_. Когда пользователь входит в систему, WordPress добавляет cookie в ваш браузер, которая выглядит так:

wordpress_logged_in_1234567890abcdefghijklmnopqrstuvwxyz

Пример правила с проверкой типа файла

# require login for media files
<IfModule mod_rewrite.c>
    RewriteCond %{REQUEST_FILENAME} (.*)
    RewriteCond %{HTTP_COOKIE} !wordpress_logged_in_([a-zA-Z0-9_]*) [NC]
    RewriteRule .* - [F,L]
</IfModule>

Если вам нужен плагинный способ решения этой проблемы, вот довольно хорошее решение, которое я (наконец-то) нашёл:

1. Установите плагин 'Download Monitor', доступный по адресу:
   https://wordpress.org/plugins/download-monitor/
2. В панели управления WordPress перейдите в новый пункт меню 'Загрузки' и добавьте новую 'Загрузку', как описано в документации плагина здесь: https://www.download-monitor.com/kb/adding-downloads/. Запомните шорткод 'Загрузки', который вам предоставлен (например, сохраните в Блокнот). Обратите внимание, что файл сохраняется в /wp-content/uploads/dlm_uploads/
3. В метабоксе 'Настройки загрузки' укажите 'Только для участников' (как описано здесь https://www.download-monitor.com/kb/download-options/) и нажмите 'Опубликовать'.
4. На странице, где должна отображаться загрузка только для участников, добавьте шорткод, который вы запомнили в шаге №2, и 'Опубликуйте/Обновите' страницу, как описано здесь: https://www.download-monitor.com/kb/shortcode-download/. Вы можете изменить шаблон ссылки для загрузки, как описано здесь https://www.download-monitor.com/kb/content-templates/, или создать свой собственный (например, чтобы убрать счётчик загрузок)
5. Перейдите на вашу страницу — вы должны увидеть ссылку для загрузки (но она не показывает реальный URL файла). Если вы откроете ту же страницу в новом окне браузера (или в режиме Инкогнито), вы обнаружите, что загрузка больше не работает.

Это означает, что любой, кто не вошёл в систему, не сможет ни скачать файл, ни увидеть его реальный URL. Если кто-то несанкционированный узнает URL файла, плагин также блокирует доступ к папке /wp-content/uploads/dlm_uploads/, предотвращая просмотр реального файла.

Бонус: если вы делаете это для сайта, где пользователи должны входить только как 'Участники' (без прав WordPress, таких как редактирование страниц или права администратора), установите плагин 'Members' https://wordpress.org/plugins/members/, создайте новую роль пользователя 'Участник' с единственным правом 'read', добавьте нового пользователя в WordPress и назначьте ему роль 'Участник'.

Если вы хотите защитить содержимое страниц, плагин 'Members' предоставляет несколько опций, либо можно использовать другие плагины. Если вам нужно оформить страницу входа для участников лучше, чем стандартная форма WordPress, используйте что-то вроде 'Theme My Login': https://wordpress.org/plugins/theme-my-login/

Как насчет подхода на основе плагинов для решения этой проблемы? Я нашел WP-плагин, созданный именно для этого:

Запретить доступ к файлам/папкам: https://wordpress.org/plugins/prevent-file-access/