Eso de pasar nombres de archivos por url para descargar es arma de 3 (o más) filos.
Lo ideal es tener los nombres de archivos y sus ids guardados en una base de datos, y al momento de solicitar el archivo se pasa por la url sólo el id. Así evitas que alguien pueda descargar tus scripts php u otros archivos con información sensible.
