Non è sicuro perchè se riescono a trovare quel file hanno accesso a tutti i dati .

Sì l'errore per il quale accetta anche i numeri è l'espressione, prova con questa:
codice:
/^[a-z ,.'-]+$/i