wenn man dateien in einem verzeichnis ausserhalb des docroots ablegt, ist es sehr unwahrscheinlich, dass der server so fehlerhaft konfiguriert wird, dass man über http an dieses verzeichnis kommt. da muss ein verzeichnis schon explizit in der httpd.conf per Alias gemappt werden.

ist also in jedem fall zu empfehlen.

wenn die dateien irgendwo im docroot liegen, kann es viel leichter passieren (man vertippt sich z.b. im .htaccess).