ファイルは非公開ディレクトリに置いておいて、
プログラムで読み出して返してやればいいんじゃない？
HTTP ヘッダの Content-Type に "image/jpeg" とか
書いてバイナリストリームを送るだけだったような。