Web应用项目结构的PHP基本安全性

Question

我有一个具有以下结构的Web应用程序：

此处，app内部目录是注册用户的可访问文件。成功进行身份验证后，他们可以访问各自文件夹下的文件。

客户，代理商和管理员将被引导至他们可以访问的各自目录。

bower_components和globals包含css，js和图像文件。

我不希望用户访问我的目录结构。

API是包含类似Web服务的SLIM的目录。我希望它们只能通过Web应用程序访问，并且希望它在默认情况下是安全且无法访问的。

我需要的文件权限，.htaccess等常见内容应该是什么。