Nein, die php-Datei bekommt niemand so ohne Weiteres zu Gesicht.
Die wird auf dem Server ausgeführt und das Ergebnis wird dann als Antwort geschickt.
Auch wenn dein Script auf einen Fehler läuft, wird danach nichts sichtbar sein, denn dann wird die Ausführung abgebrochen. Als Antwort kommt dann nur, was bis dahin noch funktioniert hat, der Rest fällt weg.
Die Frage, ob jemand die PHP-Datei herunterladen, modifizieren und wieder uploaden kann:
Klar, das geht wahrscheinlich immer, aber dann hast Du andere Sorgen. Der Angreifer hat dann sehr wahrscheinlich schon Vollzugriff und braucht die PHP-Datei nicht mehr
Das sollte aber nicht so einfach möglich sein. Für sicherheitsrelevante Daten sollte sich aber auch mal jemand die Server-Konfiguration im Detail anschauen, der sich damit aus kennt. Nicht dass da irgendwo eine Lücke existiert, von der hier niemand etwas ahnen kann.
Und PHP funktioniert überall, wo PHP installiert wurde. Also Linux, Windows, Mac, etc.