W Symfony (jeśli to ma znaczenie) zapisuję uploadowane przez użytkownika dokumenty do podfolderu projektu web/. No i te dokumenty są widoczne dla każdego przez wpisanie odpowiedniego urla. Jak się przed tym ustrzec?

Po prostu trzymać je poza /web?

Tak

a jak następnie zastąpić linki wygenerowane na stronie do tych dokumentów <a href="https://foo/upload/documents/#=file#">

Zamiast url do pliku, mam zrobić url do kontrolera i tam sprawdzać użytkownika i zwrócić bezpośredni url do dokumentu?

Ma byc url do kotrolera ktory to po sprawdzeniu praw nie bedzie ci zwracal url do pliku tylko bedzie ci zwracal plik. Przeciez plik juz nie bedzie mial bezporesredniego url , pamietasz?