Ну для этого необходимо использовать phtml. Поместить php код в html без вмешателства в настройки сервера невозможно.
Безопасность зависит от того, как грамотно написан код, а не от того, в каком файле он находится.