Ну, так вы ничего не добьетесь.
максимум вы можете чуть замедлить пользователя, и вместо одного клика ему придется сделать чуточку больше телодвижений. но через 2 минуты у него все равно будет URL файла
Правильным решением будет не скрывать URL-ы, а правильно отображать контент по ним.
Если пользователь1 имеет право увидеть картинку по ссылке
http://site.ru/images/1.jpg, то показываем ему эту картинку.
А если пользователь2 не имеет прав для просмотра этой картинки, то по этой же ссылке он не должен увидеть оригинальную картинку.
Это правильное решение, которое надо использовать в данной ситуации