[etc]

Ну конечно. А получить контент php файла можно или залив через дыру в скрипте шелл или же просто сломать ftp (подобрать пасс, хе-хе).
Всё в целом зависит от того, насколько взломоустойчив твой скрипт. Ну там, SQL-Inject, XSS, такие дела…

С внешним конфигом, конечно, чуть-чуть понадежнее, но ненамного — подключение конфига будет в исходном коде.