Вы не можете передать пользователю несколько файлов, поэтому, если вы не сжимаете их на стороне сервера в один архив, вы должны показать ему ссылки на файлы.
Однако вы не ограниченыссылка на фактический файл, вы можете сослаться на «страницу загрузчика», которая дает пользователю один файл при вызове, чтобы неавторизованные пользователи не могли получить доступ к файлам (см. ответ PENDO о том, как это сделать).