Poprzez opcję include zaciągam plik np. zdjecia.php z folderu admin.

Czy mogę zablokować wyświetlanie tego pliku jak ktoś wpisze www.nazwastrony.pl/admin/zdjecia.php

Ok udało mi się wyszukać rozwiązanie z htaccess

deny from all

Możesz jeszcze zablokować ustawiając odpowiednie prawa własności do pliku tzw. CHMOD 600 albo 640 i nie powinien mieć nikt z zewnątrz dostępu.

Z tym, że jeśli właścicielem pliku będzie użytkownik na którym działa apache/nginx to i tak to nic nie da .

IMO najlepszą opcją jest montowanie domeny do katalogu np public/ w którym jest tylko to co ma być widocznie publicznie.

Zgadzam się, wszystko zależy od konfiguracji serwera.

Co do public/ to jest najlepsze rozwiązanie. I wygodne. Kiedyś spotkałem się z techniką która trzyma skrypty które są dołączane przez include/require że nazywane były plik.inc albo plik.class. Nie trudno zgadnąć, że przy normalnej konfiguracji serwera, można było podglądać kod strony (i zobaczyć hasła np. do bazy danych).