Реализация возможности скачивания директорий пользователями сайта

Можно запретить nginx буферидовать ответ от fcgi на диск (x-accel-buffering), чтобы избежать лишнего io. Но в этом случае в памяти будет висеть по экземпляру zip на клиента.

Я бы рекомендовал реализовать упаковку на каком-нибудь асинхронном фреймворке (node, tornado), тогда это будет не проблема.

А что будет если, например, вызвать/download.cgi?/etc или /download.cgi?/?
Не должна же запаковаться корневая директория с конфигами… Не вижу проверок на такие ситуации

Не смотрели на вот такую реализацию вашей задачи: wiki.nginx.org/NgxZip?

Почему бы не заменить вот это:
pushd "$homeDir" > /dev/null

простым cd?

А popd совсем удалить?

Верно ли я понимаю, что любой юзер, обладающий любым доступом на сайт, может дописать к /download.cgi?имя-любой-директории, если он знает имя этой директории? Т.е. никакого разграничения по правам доступа к папкам у вас нет?
upd: имею в виду, что все юзеры имеют доступ ко всем папкам внутри /storage/media/audio?

Думаю, можно обойтись без fcgiwrap и перенести bash-скрипт на xinet.d

Как-то так

service ws
{
   port            = 8081
   socket_type     = stream
   wait            = no
   type = UNLISTED
   user            = www-data
   server          = /bin/bash
   server_args = /root/ws.sh
   log_on_success  += USERID
   log_on_failure  += USERID
   disable         = no
}

Есть небольшой закрытый сайт

и

но у нас обычные пользователи и для многих будет загадкой что делать с tar

Как-то не вяжется. Если количество пользователей ограничено, то сделать краткую инструкцию по распаковке .tar не должно составить труда.

p. s.: Как-то нехорошо на Хабре говорить про пиратские сайты. Нет?