Если проект - монолит, то 100% клонируют при желании (опуская ответственность за это).
Защита исходных кодов проекта php - отсутствие к ним доступа.
Можно разделить монолит на фронт/бэк/сервис(ы) - всё отдельные проекты. Наёмный фрилансер получает доступ только к отдельной части. Всё самое важное (ноухау, бизнес-идею) - держать в сервисах, доступ к коду которых только у особо доверенных товарищей. CI/CD и интеграционные тесты обязательны.
В целом, сложность проекта возрастает в разы... но если есть, что защищать, наверное, оно того стоит?
