Клиент может просмотреть исходный код PHP серверной стороны?

Нет. Если только вы не повторяете это им там, где вы на самом деле его используете.

Использование включает в себя снизу или вне каталога, обслуживаемого www. (пока не могу +1 .. для Фрэнки)

Не используйте символические ссылки для ваших http-каталогов. Я намеренно использовал это как для показа источника, так и для выполнения в зависимости от пути пользовательского запроса раньше, но для этого требовался httpd. Рассмотрим:

fopen('reports/' . $_GET['blah']);

, где пользователь передает '../index.php'

Нет, но вы должны принять все меры, чтобы предотвратить это.

Вы всегда должны устанавливать свой конфиденциальный код (черт возьми, почему не весь?) В каталоге ниже рабочего каталога вашего сервера (скажем, / www), таким образом, если сервер испортится, он не сможет показать ваш код миру, потому что этот код будет включен php, который изначально не работает.

Если ваш веб-сервер настроен на обслуживание, а не на анализ вашего php, да. Но тогда клиенты не работали. Так что, запрещая любые дыры в безопасности, ответ - нет.

Нет. Предполагая, что вы правильно установили сервер L / UAMP или не распечатываете (echo, print_r и т. Д.) И внутренности вашего кода, PHP будет обработан, а логика или HTML, который он предназначен для вывода, будет используется на странице, не отображается.

NB Если в каталоге нет «индекса» или подходящего файла .htacess, сервер Apache покажет список файлов в каталоге, которые можно загрузить и просмотреть .