Ich möchte den anderen Antworten widersprechen: Es ist sehr wohl u. U. für Außenstehende möglich, auf den PHP-Quelltext zuzugreifen, auch wenn das kaum jemand weiß.
Ich komme nicht aus der Web-Developer Ecke, sondern bin eher im Bereich Security angesiedelt und es ist je nach Server-Konfiguration mehr oder weniger leicht, den Server zum Ausspucken des PHP-Quelltextes zu überreden.
Und zwar kann man gerade auf Servern mit PHP bzw. Apache relativ einfach Ressource-Exhaustions herbei führen, auf die Apache so reagiert, dass er eine angefragte PHP-Datei zwar wie gewohnt ausliefert, allerdings ohne vorher dieselbige zu interpretieren, bzw. durch das PHP-Modul zu jagen.
Das liegt daran, dass Apache über sehr viele Drittanbietermodule verfügt, die oft nicht den gleichen Qualitätsstandards genügen wie die Kernsoftware.
Allerdings ist selbst die Modulqualität bei Apache unglaublich hoch, sodass man hier auch als Angreifer kaum ansetzen kann.
Ganz anders hingegen sieht es bei PHP aus. Selbst wenn man die Kernsoftware als relativ stabil bezeichnen möchte, ist die Qualität der Drittanbietermodule gelinde gesagt "unter aller Sau".
Ich habe hier schon früher unter anderen Accounts darauf hingewiesen, aber besonders das Modul ImageMagick ist fast immer standardmäßig aktiviert und sofern die Seite irgendeine Form von Bildupload erlaubt, hat man als Angreifer eigentlich schon gewonnen.
Details nenne ich jetzt hier nicht, aber jeder darf gerne mal ImageMagick mit einem Fuzzer seiner Wahl testen ... dabei aber bitte einen Eimer bereit halten, falls man sich übergeben muss.
Die Leuchten von ImageMagick wissen nämlich um die Bugs und den katasttrophalen Zustand ihrer Software, aber haben sich bewusst dazu entschieden, nichts dagegen zu unternehmen.
Deshalb wurde das Projekt GraphicsMagick geforkt, was größtenteils kompatibel zu ImageMagick ist, allerdings Wert auf Sicherheit legt, und z. B. alle bekannten Speicherlecks gestopft hat.
Lange Rede kurzer Sinn: Wenn man weiß, wie es geht, kann man fast jeder Apache / PHP Kombination den serverseitigen Quelltext entlocken.
Und zum Schluss noch eine Anmerkung für die Kritiker, die das nicht glauben wollen: Ja, das ging auch schon hier bei GF. Der Server hat den gecachteen PHP-Quelltextt ausgegeben, der bereits zu großen Teilen zusammen gesetzt war, keine "include" oder "require_once" Anweisungen mehr enthielt, und deshalb weit über 100MB groß war.
Nichtsdesttotrotz waren darin teilweise Hashes, Salts, Datenbankserver-Adressen / -Ports / -User / -Passwörter, uvm. enthalten. (War so eine Art Memory-Dump vom PHP-Interpreter)
Desweiteren konnte man am PHP-Quelltext sehr gut den unfassbar schlechen Sttil der Entwickler sehen und wenn man gewollt hätte, sehr komfortabel nach vielen weiteren Sicherheitslücken suchen können.
Vor einiger Zeit wurde auf GF aber sowohl Front- als auch Backend komplett umgestellt, und ein Entwickler meinte mal zu mir, dass das wohl nicht mehr möglich sein sollte.
Ich werde so etwas natürlich nicht ungefragt ausprobierten und mich hüten, irgendetwas auch nur halb-legales auszuprobieren, aber ab einem gewissen Erfahrungslevel stolpert man hin und wieder ganz automatisch beim alltäglichen Benutzen einer Website über solch gravierende Sicherheitslücken.
Also: Quelltext auslesen ist grundsätzlich möglich. Insebesondere bei PHP, und zwar ohne irgendwelche Serverfehlkonfigurationen wie Directory-Listtings ausnutzen zu müssen. Während meiner Arbeit sehe ich das ständig und es ist wirklich erschreckend einfach. (entspr. Wissen vorausgesetzt)
Normalerweise soll das ja nicht gehen und es widerspricht dem Grundgedanken hinter einer serverseittigen Skriptsprache, aber in der Praxis geht es nun mal bei einem sehr großen Teil der Server. Ich hoffe, das beantwortet deine Frage so halbwegs.
Schönen Abend noch! ;)