Una solución puede ser usar un hash como identificador. Por ejemplo, **archivo.rar** hasheado (bcrypt) queda como:

    /descarga.php?id=$2a$06$I3wuZYJKUDK.yYwTy9yzv.CfCI14CMurChOev8mbUhJ1MmgXzlzQe

Y en PHP iterar la lista de archivos para saber qué archivo coincide (por nombre) con el hash:


    $hash = '$2a$06$I3wuZYJKUDK.yYwTy9yzv.CfCI14CMurChOev8mbUhJ1MmgXzlzQe';    
    $path = './public/archivos/';
    $files = array_diff(scandir($path), array('.', '..'));
    $file = '';
    
    foreach($files as $file) {
      if (password_verify($file, $hash)) {
        header("Content-Type: application/octet-stream");
        header("Content-Disposition: attachment; filename={$file}");
        header("Pragma: no-cache");
        readfile("{$path}/{$file}");
        break;
      }
    }

**Nota:** `scandir` también lista directorios, así que, si tienes subdirectorios dentro de la carpeta de los archivos a descargar, asegúrate que `$file` no sea un directorio.