求一个IIS防盗链(防下载)的方法

服务器是自己的，对IIS具有所有控制权.网站上有很多文件提供给用户下载，但是要用户注册，并且积分达到指定值才能下载文件。我现在有两个问题想请教大家:
1.文件的下载是直接给出下载链接(直接指向文件)还是通过ASP.NET程序读出文件再输出到客户浏览器，文件可能比较大，有可能几十M，如果是通过ASP.NET程序读出再输出，会不会有效率问题.
2.文件该放在什么地方，是放在虚拟目录下，还是放在虚拟目录之外，比如D:\download