Ребяты, извините, что вмешиваюсь , можно еще вопрос?
Вынести за пределы DOCUMENT_ROOT - значит сделать недоступным по http-протоколу. Ну а чужие скрипты (лежащие за пределами моего хоста) не смогут получить доступ к файлу из-за различий в UID, я правильно понял?