1) Man legt seine Konfigurationsdateien grundsätzlich
immer außerhalb des htdocs-Pfades ab.
2) Pass das "Document Root" Verzeichnis des Apache eben an dein DocumentRoot an.
3) xampp ist nicht für das offene Internet gedacht (auch wenn das oftmals propagiert wird). Grund: Sicherheitspatches werden oft erst ziemlich spät eingebunden. Außerdem ist die Default-Konfiguration absolut unsicher (sagt sogar das Projekt selber, siehe
hier