centrin0

Поставить Docker с нужной версией PHP внутри, сделать чтобы php-fpm слушал не unix сокет, а http (честно говоря возможно и с unix сокетами можно настроить, но так точно проще будет), биндите php-fpm из контейнера на порт хоста, меняете unix:/var/run/php5-fpm.sock на 127.0.0.1:порт.
Так будет проще и надежнее всего.
Всё достаточно просто, почитайте документацию Docker, разберетесь без проблем.

1) Нужно ограничивать доступ пользователю именно к файлу, а не к ссылке, например переместив пользователя или файл в другую группу.
2) Права на доступ к ссылке, это права на доступ к ссылке, а не к файлу. Т.е. если у пользвателя есть право модифицировать сам файл и он пришел к файлу по символьной ссылке (у пользователя есть доступ на чтение ссылки), то пользователь может изменить файл.
3) Если нет возможности выполнить 1), то можно настроить контроль доступа для пользователя через AppArmor или SElinux на данный файл.

Как сделать так, чтобы тот, у кого есть только ссылка, а не сами файлы, не мог менять эти самые файлы?

Это всегда так: т.е. доступ к файлу определяется только владельцем/разрешениями этого файла. Владелец/разрешения ссылки не имеют значения.

Как связаны права доступа к файлу и с правами символьной ссылки?

Никак. В линуксе права доступа ссылки никак не используются и не могут быть изменены, см. например man 7 symlink.

Настройте dklab.ru/lib/dklab_realsync и работайте с сайтом как с локальным, из любого удобного редактора.

есть плагины для эклипса, нетбинс и других. ключевое слово remote control. они позволяют подключиться по sftp или ssh к серверу и редактировать файлы там. просто ftp не рекомендую - защиты никакой нет.

сам использую aptana.com