[guru_nemo]

помог следующий код в .htacess
<Files "*.xml">
deny from all
</Files>
может кому пригодится. все файлы .xml в папке с этим файлом .htacess стали доступны только для скриптов сайта. вместо .xml можно поставить любое расширение.