htaccess vs. sub-"root": Sicher?

[anihex]

Hallo,

ich plane derzeit ein neues Projekt und möchte dieses natürlich so sicher wie möglich gestalten.
Dabei möchte ich nicht nur meine PHP-Sktipte und meine SQL-Abfragen an sich so sicher wie möglich gestalten, sondern vorsichtshalber auch das Dateisystem so gut ich kann.
Denn wie in einem Artikel von phpfreaks.com kann es (warum auch immer) passieren, dass der Quellcode der PHP-Dateien angezeigt und nicht verarbeitet wird.
Wie am Fall facebook zu sehen ist.
Mir ist natürlich bewusst, dass Sicherheit in erster Linie durch sicheres Programmieren und nicht durch das Verstecken von Quelltexten erfolgen sollte, doch möchte ich wirklich alle mir möglichen Register ziehen.

Um dieses Ziel zu erreichen wollte ich alle Quelltexte in einem Ordner speichern, der von außen nicht aufgerufen werden kann.
Dafür bietet sich ja ein Ordner über dem eigentlichen root-Verzeichnis dafür an.
Man könnte dann z.B. folgende Struktur haben:

/global_php   <-- Aufrufbare PHP Dateien
    /images
    /css
/mooduls      <-- Verwendete Module
/src          <-- Eigentlicher Quelltext des Projektes
/tpl          <-- Template-Daten

Die index.php im Ordner "global_php" würde dann nur noch das hier enthalten:

<?php
    include( "../src/index.php" );
?>

Die index.php im Ordner "src" würde dann die eigentliche Arbeit übernehmen.

Diese Möglichkeit bietet sich uns jedoch nicht. Unser hoster (ein Freund des Admins) bietet uns lediglich einen Unterordner an. Aus Kostengründen fehlen uns hier leider auch die Alternativen.
Nun habe ich mir überlegt, dass ich das ganze anders lösen könnte.
Und zwar indem ich alles in einen Unterordner packe und diesen dann mit htaccess vor Zugriffen "schütze".
Die neue Struktur würde dann so aussehen:

/             <-- Aufrufbare PHP Dateien
    /images
    /css
    /mooduls  <-- Verwendete Module
    /src      <-- Eigentlicher Quelltext des Projektes
    /tpl      <-- Template-Daten

In die Unterordner "moduls", "src" und "tpl" würde ich dann eine htaccess hinterlegen, die folgenden Inhalt hat:

Deny from all

Wie sicher ist das? Oder macht das alles überhaupt keinen Sinn, weil niemand mehr seinen Apache verunstalten kann?

Liebe Grüße
~ Chris

[h3ll]

Wie sicher ist das?

So sicher wie der Webserver. Wenn der Server falsch konfiguriert ist und zB. htaccess-Dateien ignoriert, bringt das auch nix.

Wenn der Server nicht vertrauenswürdig ist, dann gibts nur eine wirkliche Lösung: Einen Anbieterwechsel. Denn egal welche Anstrengungen du unternimmst, sie können von einem schusseligen Server-Admin zu Nichte gemacht werden.

Ich sehe hier auch nicht die Verantwortung in der Software. Es ist nicht Aufgabe der Software Sicherheitslücken im Server zu stopfen.

[anihex]

Danke für deine Antwort!

Also wäre "sub-root" (Auch wenn ich glaub das der Begriff irgendwie falsch ist) immernoch die besser Variante?
Oder ist das generell "nicht mein Bier" da es am Server liegen würde, sollten meine Quelltexte angezeigt werden?
Der Leidtragende wäre ja immernoch ich bzw. das Projekt.

Liebe Grüße
~ Chris