zabezpečení souboru ve složce app

Dobrý den,
chtěl bych se zeptat jak řešíte situaci kdy potřebujete někomu dat ftp přistup jen do složky /www jak pak zabezpečit, aby nemohl nahrát php soubor obsahující něco takového

$file = "../app/config/config.local.neon";
header('Content-Description: File Transfer');
header('Content-Type: application/octet-stream');
header('Content-Disposition: attachment; filename='.basename($file));
header('Content-Transfer-Encoding: binary');
header('Expires: 0');
header('Cache-Control: must-revalidate');
header('Pragma: public');
header('Content-Length: ' . filesize($file));
ob_clean();
flush();
readfile($file);
exit;

je možné nějak zabezpečit app složku proti funkci readfile() nebo jak se tohle řeší ? Děkuji za odpověď