La forma en la que haces está correcta. Bien, a qué te refieres con una forma más segura de llamar a tus scripts PHP desde HTML? Quieres ocultar la extensión ".php" y que quede sólo "compras"? En ese caso, puedes hacer lo siguiente:
Lo que debes hacer primeramente es quitar la extensión ".php" al archivo compras.php y seguidamente agregar las siguientes líneas dentro del .htaccess de tu servidor:
Código Apache:
Ver original<Files compra>
ForceType application/x-httpd-php
</Files>
De esta forma logras que el servidor interprete el archivo "compras" sin la extensión .php como si fuera en realidad un script PHP, cosa que obviamente es así pero el servidor no lo sabe.
Espero te sea de utilidad y responda a lo que haz planteado.
Saludos
