Guck Dir mal die Antwort 9 an, das ist vielleicht etwas besser, weil ohne $pid. Dass Du natürlich die Berechtigung abprüfen musst, in welcher Form auch immer, ist ja so oder so klar. Und warum er die Datei öffnet, ist klar, damit das Script sie nachher an den Browser mittels fpassthru schicken...