Allora:
1) CSS:
lascia perdere, non potrai mai proteggerli. Devono sempre essere accessibili dal browser (OVVERO scaricabili) altrimenti il browser non potrà mai utilizzarli.
Puoi solo renderli più ostici per lo sviluppatore junior o web designer minificandoli. Online trovi diversi servizi di compressione.
Puoi altrimenti usare dei sistemi tipo "
http://old-js.cssobfuscator.com" che minifica il css, lo offusca e genera uno script js da utilizzare nel codice html al posto del link al file css.
Ha comunque delle limitazioni, non supporta "@media".
Comunque sia una volta che la pagina è renderizzata nel browser, si può lavorare di ispezione e quindi ricreare il codice css.
2) PHP:
Abbandona l'idea di giocare con le permissions: è profondamente errata.