Пока ваш код работает от общего веб-пользователя, все, что хранится на сервере, будет уязвимым. Любой другой пользователь может написать скрипт PHP для проверки любого читаемого файла на сервере, включая ваши данные и код PHP.
Если ваш хостинг-провайдер разрешит это, то поможет PHP в качестве CGI под другим пользователем, но я ожидаю, что произойдет значительное снижение производительности, поскольку каждый запрос потребует создания нового процесса. (Вы можете посмотреть на FCGI как на более эффективную альтернативу.)
Другой подход заключается в том, чтобы установить cookie на основе того, что предоставляет пользователь, и использовать его для шифрования данных сеанса. Например, когда пользователь входит в систему, возьмите хеш его имени пользователя, пароля (как они только что предоставлены) и текущее время, зашифруйте данные сеанса с помощью хеша, установите cookie, содержащий хеш. При следующем запросе вы получите cookie-файл, который затем сможете использовать для расшифровки данных сеанса. Обратите внимание, что это защитит только данные текущего сеанса; Ваша пользовательская таблица, другие данные и код будут по-прежнему уязвимы.
В этой ситуации вам необходимо решить, является ли приемлемым компромисс низкой стоимости общего хостинга, учитывая сниженную безопасность, которую он обеспечивает. Это будет зависеть от вашего приложения, и может оказаться, что вместо того, чтобы пытаться придумать сложный (и, возможно, даже не очень эффективный) способ повышения безопасности, вам лучше просто принять риск.