[JavaScript][PHP] Ajax a header() w PHP - pobieranie pliku Opcje

[d.stp]

Mam przycisk który po kliknięciu otwiera okienko. Tam jest formularz w którym użytkownik może wpisać kod. Jeżeli kod jest poprawny, powinno się włączyć pobieranie pliku. Całość mam oparte na php + ajax.

Wiem jak zrobić pobieranie pliku przez header() w php, ale nie wiem jak zwrócić to do JS.

Skrypt PHP wygląda tak:

[PHP] pobierz, plaintext 
<?php
 
	ob_start();
	session_start();
 
	$file = 'plik.rar';
	header('Content-Description: File Transfer');
	header('Content-Type: application/octet-stream');
	header('Content-Disposition: attachment; filename='.basename($file));
	header('Content-Transfer-Encoding: binary');
	header('Expires: 0');
	header('Cache-Control: must-revalidate, post-check=0, pre-check=0');
	header('Pragma: public');
	header('Content-Length: ' . filesize($file));
	ob_clean();
	flush();
	readfile($file);
	exit;
 
?>
[PHP] pobierz, plaintext 

JS:

[HTML] pobierz, plaintext 
$.ajax({
				type: "POST",
				url: "check.php",
				data: "name="+name+"&pwd="+pwd,
				success: function(html){
					if (html=='true')    {
						window.location=html;
					}
[HTML] pobierz, plaintext 

[d.stp]

A jakby skrypt php generował odpowiedni link i go wypluwał? hmm wtedy zrobiłbym np. pobierz.php?idpliku=1&token=xxx ale to jakiś token czy coś też by musiał się generować (IMG:style_emoticons/default/sad.gif) może w tym skrypcie PHP co sprawdza kod z formularza wrzucić w sesje jakiś hash i w pobierz.php sprawdzać czy hash == hash z sesji?

z poziomu przeglądarki taki link nie będzie widoczny przecież