Come organizzare i files di un'app PHP

Buongiorno, sto provando a realizzare un'app per prenotare i laboratori del mio posto di lavoro, nella quale gli utenti dovrebbero registrarsi ed accedere tramite password.
Ho realizzato tutto in locale, ma ho parecchi dubbi su come trasferire i file sul server, soprattutto per quanto riguarda la sicurezza.
Cercando sul web si legge di mettere i file .php in una cartella nascosta e di lasciare accessibile solo una cartella public_html con l'index.php e poco altro.
Che vuol dire? Dovrei creare delle cartelle nascoste con htaccess? o con chmod?
Scusate ma su queste cose non ho molta esperienza

In linea di massima, il codice dentro i file *.php è protetto e non viene rivelato all'esterno. Gli unici output possibili sono quelli appunto del file .php( con le print, echo, var_dump etc). Puoi benissimo caricare i vari file *.php dove ti è più comodo.

Le uniche note che mi vengono in mente e che potrebbero interessarti sono:

• Ovviamente il codice PHP non deve contenere vulnerabilità. Quindi visto che hai fatto un'area di registrazione, attenzione a sql injection. Se hai una parte di upload file accessibile al pubblico, assicurati che sia protetta a dovere.
  
• Se vuoi, puoi utilizzare .htaccess per proteggere determinati file, ma come spiegato sopra non è indispensabile.
  
• Ricordo che da regolamento, è proibito realizzare siti il cui contenuto più significativo non sia liberamente accessibile al pubblico (art #4.12)

Ciao!

Wow, non immaginavo che Altervista rispondesse anche il sabato sera!:lol:
1) Sul codice sto facendo un corso accelerato sulla sicurezza di PHP consultando tutto quello che trovo in rete. Per il moento uso il PDO con i prepared statements per il SQL, il metodo POST con htmlspecialchars per il submit, e sto ancora cercando di capire meglio i problemi delle Session.
3) Sul regolamento non avevo proprio considerato la cosa, del resto l'app interesserebbe solo i miei colleghi. Ho pensato che potrei rendere la visione delle prenotazioni effettuate visibile a tutti, mentre per prenotare bisognerebbe effettuare il login. Così potrebbe andare bene? Inoltre dovrei linkare l'app dal mio sito principale, giusto?

Se utilizzi i prepared statements va benissimo e sei protetto dagli attacchi. Per le sessioni non ci sono particolari vulnerabilità.

Per quanto riguarda il regolamento, se rendi pubblico i contenuti, va bene; non ho capito cosa intendi con l'ultima frase.

Ciao!