Возможно ли как-нибудь защитить верстку, но и при этом чтоб сайт находился на хостинге, чтоб клиент мог потыкать посмотреть?
Самый простой вариант- это привязать исполнение скриптов к домену. Это, конечно, никакая не защита, но при данной постановке задачи и не может быть 100% защиты, но от недалекого воришки спасёт.
Иным вариантом может быть воздействие на нехорошего человека путём встройки некой приколюхи, которая через время, в случае неуплаты, проявит себя. Будь то просто "изчезновение" сайта, либо же надпись на странице о том, какой он мудила. Опять же, не защита, и требует дополнительных усилий, но в некоторых случаях сыграет вам на руку.
А вообще с мудаками, действительно, не стоит водить дел. Но этот опыт приобретается только лишь самолично.