Безопасно ли записывать «секретные» данные в txt-файл с именем из кракозябр (например salkgkawj2145lkjsalfkj@24lkjl), который открыт для чтения?
Не безопасно, вспомним утечки всех СМСок у крупных сотовых операторов лет 5 назад.
Можно хранить в тхт файлах, но раз есть пхп на сервере, то через него и отдавать. То есть "база" из файлов лежит в папке, к которой из вне не попасть, но сам пхп может смотреть папку и вычитывать файлы. Вот этот пхп пускай на время сессии и выдаёт контент файлов. Этот же пхп файл определяет и права на доступ к данным, если там многопользовательский вариант или просто парольный доступ.
Через мод_реврайт, можете симулировать расширение .txt в адресной строке, а через контент тип формат text.
Ну записывай, только используй хотя бы шифрование с ключём которые знают только доверенные лица.