PHP-код выполняется из необработанных текстовых файлов сценариев в той же форме, в которой вы их составляете. ASP-код может быть скомпилирован в библиотеки, которые вы можете импортировать.
Мораль истории: PHP не обеспечивает защиту от сторонних наблюдателей на сервере, ASP делает, если вы используете вышеупомянутую форму. Это, конечно, предполагает, что у них есть какой-то способ проникнуть на сервер в первую очередь: оба будут обеспечивать базовую защиту, скрывая скрипты от посторонних.
Вы можете добавить другую форму защиты, убедившись, что пользователь, под которым выполняются сценарии, имеет надежный пароль и защищен от чтения, записи или выполнения другими пользователями.
Я бы порекомендовал сделать выбор исходя из того, что вам удобнее при программировании: яйцо нельзя разбить ножом.