Да, если веб-сервер не разрешает публичный доступ по конфигурации, тогда никто не сможет получить доступ к файлам. Однако запрет доступа по конфигурации более хрупок, чем просто отсутствие файлов. Всегда может случиться, что неосторожный администратор неверно настроит сервер и внезапно разрешит доступ к этим файлам, что просто не проблема, если вы сначала не подпускаете файлы к корню. Возможно, у вас также есть вторичная уязвимость, в которой кто-то может изменить ваши файлы .htaccess, тем самым пропуская себя через черный ход. Опять же, не проблема, если файлов просто нет вообще.