robots.txt про это ничего не знаю. надо почитать.
в .htaccess папку я закрыл первой строкой.
Options -Indexes
<Files "*.xml">
deny from all
</Files>

Если папка, содержит файлы, которые доступны только владельцу, то ее закрывают всю:
<Files "*.*">
Директива:
<Files "*.xml">
по логике своей означает, что в данной папке есть файлы других типов, которые доступны публично. И если так, то зачем?

Подключаемые файлы функций, классы, шаблоны, исполняемые файлы для cron и т.п., все это помещается в закрытые папки, а в rorbots.txt прописывается директива не индексировать данные папки. Также эти папки не отражаются в карте сайта, это ресурсы системы, а не публичные данные.

если закрыть таким образом файлы папки, то во вложенных в неё папках также надо размещать .htaccess с такими же директивами?

Нет, действие .htaccess распространяется на все вложенные документы, включая и вложенные папки.

попробовал написать дерективу <Files "*.*">, перестали открываться все скрипты php. пришлось запрет сделать на конкретные расширения.

У вас неправильно организовано либо категории, либо вообще хранение файлов. Не может быть такого. Если вы закрыли по конкретным расширениям, то что, исполняемые файлы не закрыты? Ну так это дыра в безопасности.

Читайте - http://www.htaccess.net.ru/