Если речь о том, чтобы в REQUEST URI передавать пароль, а потом на его основании прирнимать решение о начале работы скрипта, то это жутко ненадежно. К тому же, защищать таким образом получится не все содержимое директории, а только серверные скрипты.