Tach!
Die Datei sollte nur von der App geladen werden können, sonst (z.B. über den Browser) aber nicht erreichbar sein.
Wie überträgst du denn die Dateien? Mit HTTP? Dabei kannst du zwar individuelle Parameter mitgeben, um die App zu erkennen, aber wenn jemand den Netzwerkverkehr mitschneiden kann, dann kann er die benötigten Parameter auch daraus erkennen und den Request nachbilden. Das wird erschwert, wenn du Verschlüsslung einsetzt, also HTTPS. Dann kann der individuelle Erkennungsparameter nicht so einfach aus dem Datenstrom gelesen werden. Jedoch kann man immer noch die App analysieren (falls das möglich ist).
dedlfix.