[Gvozd]

Как мне так работать со всем этим. То есть вот я получаю запрос GET или POST с формы. Потом мне нужно как-то обратиться к XML файлу, проверить наличие в нем соответствующей учетной записи. И авторизовать или нет пользователя соответственно.

да, так можно сделать.

Еще было бы хорошо как нибудь запретить пользователю напрямую обратиться к XML файлу, чтобы не было доступа к учетным записям.

.htaccess

MySql базу нельзя использовать

почему?