Možda bi mogao da napraviš servlet koji vraća određeni pdf na osnovu parametra, a da link ka dokumentima bude u stvari mapirani servlet i neki parametar. U samom servletu (ili bilo kojoj drugoj metodi neke klase koju pozoveš iz servleta) onda možeš da proveriš da li je dozvoljen pristup i ako jeste vratiš dokument.