entweder der webserver ist so konfiguriert, dass er das skript als CGI ausführt, oder er bietet es zum download an. beides gleichzeitig geht also nicht.
es empfiehlt sich aber trotzdem, daten wie passwörter in einer extra config-datei abzulegen, die von aussen nicht erreichbar ist. im falle einer fehlkonfiguration des webservers.