secondo me con php puoi accedere senza farti problemi


root/dirprotetta/filexml.xml

in

root/index.php

ci scrivi

include("dirprotetta/filexml.xml");

te lo include, quindi la password la chiede solo quando si accede alla dir dal browser

al posto di include puoi usare le funzioni xml di php per parsare il contenuto
http://it.php.net/xml
oppure gestire tutto tu con fopen/fread

ciao