Почему пользователю видны все файлы?

Вы меня неправильно поняли. Каждый пользователь видит вообще все файлы, которые лежат на сервере. Вплоть от корня, включая папку, которую ему назначили.