Estás encontrando un problema de alcance aquí. La variable URL en su código JS se declara a través de la palabra clave var dentro del alcance de la función de descarga. Esto significa que solo el código dentro de la función de descarga puede modificar ese valor de url particular.

El script devuelto por download.php modifica el valor de la URL en el ámbito global (en el navegador, este es el objeto "ventana"), que no tiene el mismo valor que la url dentro del alcance de la función de descarga.

Si no usa la palabra clave 'var' en la declaración de la variable url, se creará automáticamente en el alcance global y su código funcionará como esperaba.

Estoy de acuerdo con los demás, que su diseño es intrínsecamente defectuoso y debe ser revisado, sin embargo.

O puede usar una llamada ajax sincronizada con .responseText como en este ejemplo:

var html = $.ajax({
  url: "some.php",
  async: false
}).responseText;

Para su código esto significa:

function download ( what )  {
  var url = "download.php?what="+what;

  location.href = $.ajax({
       type: "GET",
       url: "download.php?ajax=true",
       data: "what=" + what
       async: false,
       dataType: "script"
  }).responseText;
}

¿Hay alguna razón para desactivar la naturaleza asincrónica de la solicitud AJAX? bloqueará el navegador hasta que se complete la solicitud. Es mejor utilizar una devolución de llamada en su lugar:

$.ajax({
  type: "GET",
  url: "download.php?ajax=true",
  data: "what=" + what,
  dataType: "script",
  success: function(msg) {
      location.href = url;
  }
});