Reestringir acceso con variables globales

[pateketrueke]

El tema es que debes separar responsabilidades.

Una cosa es el código de la aplicación, y otra los archivos que si pueden acceder directamente los usuarios, ¿acaso los usuarios eventualmente podrán acceder a un script directamente?

Jamás debería ser positiva la respuesta, de lo contrario tienes problemas de planteamiento y seguridad enormes.

Tan solo imagina que todo el código de la aplicación está debajo de la carpeta app/, entonces ¿debe dicha carpeta estar alojada en el mismo DOCUMENT_ROOT de tus demás archivos?

No debería.

Pero en caso de ser así bien puedes colocar un .htaccess bloqueando todo dentro de dicha carpeta, eso no debe afectar para nada al resto de tus archivos.

La regla de oro es colocar el código de la aplicación fuera del DOCUMENT_ROOT, y el index.php se encargue de inicializar todo, así lo hacen los frameworks modernos por muchas razones, evidentemente.