O fato de a URL ser difícil de adivinhar é proteção suficiente (você não se importa se alguém puder compartilhar o link com outra pessoa e/ou acessá-lo após o término da assinatura)? Se isso for importante e você não quiser usar o S3 e Uploads de Mídia Segura e estiver em hospedagem própria, tenho uma solução de US$ 500 com algumas ressalvas menores.
Se você apenas quiser que o PDF apareça na postagem, confira Inline PDF Previews