Ffff !

NIKDE NEBUDE LINK.
Volat se bude skript, který si ověří heslo.
Když bude heslo odpovidat, tak funkce flush pošle na výstup příslušný soubor.

Samozřejmě je blbost předávat heslo např. přes parametry GET v url.
No, třeba já jsem použil ke konstrukci URL JavaScript na pozadí.

Tento způsob je sice stále "prolomitelný", ale uživatel už musí znát to heslo a pravá ruka musí vědět, co dělá levá.
Tudíž to považuji za dostatečně bezpečné pro většinu praktických situací.

No a za chvilku du do kina na Spectre. Snad mě tam opustí dnešní zlost.