Seguridad en páginas php.

[Nemutagk]

Cuando tu accedes a un archivo PHP lo unico que el usuario verá será lo que el código y el interprete de PHP arrojen al navegador, por lo tanto el código PHP mismo es "imposible" que sea mostrado, la unica forma es que el usuario tenga acceso directo al servidor, ahora, una cosa es definir funciones y otra acceder a ellas, el hecho de que esten definidas no quiere decir que PHP ejecute su código a menos que en algún lado del archivo se llamen a dicha función, de otra forma, el código jamas es ejecutado...

Si tanto te preocupa dichos archivos lo mejor es que los dejes fuera del alcance del usuario, puedes usar un .htaccess para bloquear toda petición hacia dichos archivos (deny from all), y unicamente el interprete PHP puede acceder a ellos a nivel "local", la otra es que dejes los archivos fuera de la carpeta "public" de Apache, así será imposible acceder a ellos, pero PHP podrá leerlos y ejecutarlos sin problemas...

Nota: si te das cuenta deje "imposible" entre comillas, ya que todo depende de como programes, si saneas y te proteges del contenido enviado desde el usuario, inyección SQL, XSS, etc, también queda la posibilidad de un fallo de Apache/PHP y arrojen el archivo PHP sin procesar, aunque en ese caso no se mostrará, pero si se enviará el archivo como descarga...