Боты обходят?

Deny from IP - apache блочит по айпи.
возможно, если на front-end'e - nginx, может.

А есть какие-то другие варианты?
Чтоб никакого доступа не было?

Я использую htaccess
SetEnvIf REMOTE_ADDR 127.0.0.1 DenyAccess
<Files ~ (\.php)>
order allow,deny
deny from env=DenyAccess
allow from all
</Files>

а куда айпи приписать, которому нужно запретить доступ?

и как приписать эти айпи, напишите, пожалуйста, пример...

Где 127.0.0.1, туда вбей ip адрес бота, если он не один пропиши несколько строк
SetEnvIf REMOTE_ADDR 127.0.0.1 DenyAccess
SetEnvIf REMOTE_ADDR 127.0.0.1 DenyAccess

<Files ~ (\.php)>
order allow,deny
deny from env=DenyAccess
allow from all
</Files> - а это что тогда? для чего этот текст? еще какой то файл \.php ????

Можно использовать другой вариант: htaccess переключает на скрипт контроллера, а там уже сравнивай с массивом ботов и решай, отдать файл или послать далеко-далеко. У меня по такому принципу работают скрипты, указывающие срок истечения для картинок, стилей и скриптов.