Se il malintenzionato prova con .php il file viene eseguito dal server e non puo' essere letta, se altrimenti il file ha estensione .inc il file puo' essere letto e/o scaricato