Come organizzare i files di un'app PHP

[ncassetta]

Buongiorno, sto provando a realizzare un'app per prenotare i laboratori del mio posto di lavoro, nella quale gli utenti dovrebbero registrarsi ed accedere tramite password.
Ho realizzato tutto in locale, ma ho parecchi dubbi su come trasferire i file sul server, soprattutto per quanto riguarda la sicurezza.
Cercando sul web si legge di mettere i file .php in una cartella nascosta e di lasciare accessibile solo una cartella public_html con l'index.php e poco altro.
Che vuol dire? Dovrei creare delle cartelle nascoste con htaccess? o con chmod?
Scusate ma su queste cose non ho molta esperienza

[alemoppo]

In linea di massima, il codice dentro i file *.php è protetto e non viene rivelato all'esterno. Gli unici output possibili sono quelli appunto del file .php( con le print, echo, var_dump etc). Puoi benissimo caricare i vari file *.php dove ti è più comodo.

Le uniche note che mi vengono in mente e che potrebbero interessarti sono:

• Ovviamente il codice PHP non deve contenere vulnerabilità. Quindi visto che hai fatto un'area di registrazione, attenzione a sql injection. Se hai una parte di upload file accessibile al pubblico, assicurati che sia protetta a dovere.
  
• Se vuoi, puoi utilizzare .htaccess per proteggere determinati file, ma come spiegato sopra non è indispensabile.
  
• Ricordo che da regolamento, è proibito realizzare siti il cui contenuto più significativo non sia liberamente accessibile al pubblico (art #4.12)

Ciao!

[ncassetta]

Wow, non immaginavo che Altervista rispondesse anche il sabato sera!
1) Sul codice sto facendo un corso accelerato sulla sicurezza di PHP consultando tutto quello che trovo in rete. Per il moento uso il PDO con i prepared statements per il SQL, il metodo POST con htmlspecialchars per il submit, e sto ancora cercando di capire meglio i problemi delle Session.
3) Sul regolamento non avevo proprio considerato la cosa, del resto l'app interesserebbe solo i miei colleghi. Ho pensato che potrei rendere la visione delle prenotazioni effettuate visibile a tutti, mentre per prenotare bisognerebbe effettuare il login. Così potrebbe andare bene? Inoltre dovrei linkare l'app dal mio sito principale, giusto?

[alemoppo]

Se utilizzi i prepared statements va benissimo e sei protetto dagli attacchi. Per le sessioni non ci sono particolari vulnerabilità.

Per quanto riguarda il regolamento, se rendi pubblico i contenuti, va bene; non ho capito cosa intendi con l'ultima frase.

Ciao!