Короче, мысля такая:
1-(как ты и предполагал) пишешь спец модуль, который будет всем этим делом рулить, а так же в нем отдельно делаешь функцию, которая при попытке закачки будет проверять права пользователей на закачку и соответствующим образом дальше либо давать скачать файл, либо вежливо просить подождать
2-в каждый из перечисленных тобой модулей в функцию, отвечающую за закачку, добавляешь include новоиспеченного модуля
Результат: человек пытается скачать файл - управление передается модулю-контроллеру и если все нормально, продолжается выполнение скрипта и он дает скачать файл пользователю, иначе - редирект на страничку, где крАсиВишНыми буквами написано.... ну, что там будет написано - уже другой разговор ;)
Вот так я думаю...