Ти епта
В папку с товарами хренакес deny from all
В php пишешь функцию скачивания. В обработчике проверяешь, если купил отправляешь в функцию для скачивания