Uma técnica segura é por recuo de diretório.
Também podemos resolver com outras técnicas como o a definição de uma constante ou o regras de permissão de acesso a uma pasta pública.
Tal recurso depende do servidor de páginas utilizado.
Considero o recuo de diretório mais seguro porque protege tanto no lado cliente quanto no lado servidor.
Para entender melhor, imagine uma situação onde o dono do site tem acesso ao FTP. Mas você não quer que esse sujeito tenha acesso aos códigos do sistema. É recomendável não deixar o sistema tão aberto mesmo para o dono, principalmente quando é um leigo, pois fatalmente um dia o sujeito vai mexer nos códigos, provocando bugs ou algo mais grave.
Como fazer o recuo de diretório?
Na pasta pública teria apenas o arquivo index.php.
Nesse arquivo index.php, você faz um include num arquivo numa pasta privada.
Exemplo de estrutura.
/var/www/website.foo/public
/var/www/website.foo/app
/var/www/website.foo/logs
No exemplo acima, o diretório raíz é /var/www/website.foo/public
O arquivo index.php estaria dentro desse diretório /var/www/website.foo/public/index.php
Todos os outros arquivos .php do sistema, coloque fora da pasta public.
/var/www/website.foo/app/foo.php
/var/www/website.foo/app/bar.php
Como esse diretório não é acessível ao público, está seguro. Porém, uma terceira pessoa com acesso ao servidor via FTP ou SSH, ainda pode ter acesso aos arquivos.
Caso queira reforçar a segurança, não dê acesso SSH ou FTP a esse diretório para pessoas não autorizadas.
Para o cliente que quer ter acesso FTP, libere-o para acessar somente a partir do diretório público.
Ainda assim corre o risco do cliente executar scripts php dentro da pasta pública.
Para esses casos, também é possível bloquear execução de scripts PHP na pasta pública. O problema é que o index.php não funcionaria mais.
Uma solução para isso é criar um link simbólico onde até mesmo o index.php poderia ficar fora da pasta pública.
Dessa forma temos todos os arquivos, incluindo o index.php, protegidos tanto do visitante quanto do usuário FTP.
Em sistemas Linux, pode ser feito o link simbólico da seguinte forma:
ln -s "/var/www/website.foo/app/index.php" "/var/www/website.foo/public/index.php"
Em ambiente Windows:
mklink /j "c:\www\website.foo\app\index.php" "c:\www\website.foo\public\index.php"
Um impecilho para o uso de recuo de diretório ou link simbólico é quando os sistema é executado num ambiente onde não temos permissão para executar linhas de comando e, em muitos casos onde nem mesmo é possível fazer recuo de diretório. Essa situação é comum em hospedagem compartilhada de estrutura defasada.