¿Es suficiente con que la URL sea difícil de adivinar como medida de protección (no te importa si alguien pudiera compartir el enlace con otra persona y/o acceder a él después de que su suscripción haya expirado)? Si eso es importante y no quieres usar S3 ni Cargas de medios seguras y estás autoalojado, tengo una solución de 500 $ con algunas salvedades menores.
Si solo quieres que el PDF aparezca en la publicación, consulta Inline PDF Previews