[Rzer]

Поставь запрет на папку с хмл файлами полностью. На страницу в переменную ролика передавай какой нибудь идентификатор (сессии). Создай php файл на сервере(не в этой папкке), при обращении к которому будет возвращаться нужный тебе xml файл в случае если ключ имеется в списке(базе) и это было первое обращение. После чего удаляй идентификатор из списка, чтобы невозможно было повторное обращение.