[reXtea]

אממ אני הייתי ממליץ לך לעשות את זה באמצעות .htaccess...
אני לא הכי טוב בזה אז אני אנסה לאלתר משהו:

<Files ~ "\.xml$">
Order allow,deny
Deny from all
</Files>

אממ מקווה שזה יעבוד בתכלס זה פשוט אמור למנוע גישה בעזרת הדפדפן לכל קובץ שהסיומת שלו xml.
ואממ אם אתה רוצה שאנשים בכלל לא יראו שאתה מסתיר מהם משהו בעזרת XML אז תמנע גם גישה לקובץ XML בעזרת:

<Files ~ "^\.htaccess">
Order allow,deny
Deny from all
</Files>

תהנה ובהצלחה!