pues... lo mas sencillo sería asignar permisos y propietario del archivo, aunque también otra es que almacenes el XML como texto en la BD, igualmente es rápido...
aquí la pregunta sería, como usuario, ¿como sabría donde está el XML a modificar, y porque lo debería modificar si no se donde está?
creo que sobre-preocuparse por detalles es excesivo, si el sistema es solo accesible desde la web no encuentro la vulnerabilidad de usar un XML y dejarlo por ahí, siempre y cuando nadie sepa modificarlo, solo si los usuarios tienen acceso al sistema de archivos ya habría problema, pero...
sigo con la misma cuestión, ¿quien es el único usuario que podría modificar el XML?
