Mennyire biztonságos egy olyan file feltöltő php amiben egybe van a maga a feltöltő script és a user beléptető is amiben ugye minden beállítás, adat benne van?

Ha jól meg van írva, akkor biztonságos. (Bár, mivel minél több a kód, annál átláthatatlanabb és annál esélyesebb a hiba.)

De php-t a szerverről flashgettel nem fogsz tudni leszedni, mivel szerver oldalon fut le, még a lekérdezés eredményének visszaadása előtt.

Attól függ, hogy jól van-e megírva. Amúgy php fájlt nem fogsz tudni jobb esetben leszedni http-n át semmivel, mert a szerver értelmezi és csak a kimenetet adja ki.

Én azért az user beléptető beállításait egy a webszerver által ki nem szolgált területre raknám és onnan require -al tölteném be.