Как защитить приложение Node от прямого доступа и правильный способ установки Node

Это может показаться глупым вопросом для экспертов по Node, но на данный момент я сбит с толку.

У меня есть VPS с (Centos) и php-сайт example.com. Я хотел запустить какое-нибудь приложение Node вместе со своим php-сайтом, поэтому я установил Node.js в свой корневой каталог. Для лучшего понимания вот структура каталогов

public_html
    -> index.php
    -> style.css
    -> node 
         -> server.js
         -> node_modules
         -> package.lock.json 
         -> package.xml

Мои вопросы

1) Правильный ли способ установки узла и всех модулей узла в корневой каталог? Если нет, то где установить Node и его модули? Потому что я пытался установить Node и его модули (socket.io, express и т. д.) Из корневого каталога, как это

node 
    -> node_modules
    -> package.lock.json     
    -> package.xml
public_html
    -> index.php
    -> style.css
    -> server.js

а затем запустил node server.js, расположенный в моем корневом каталоге, но он не мог работать, потому что не были найдены некоторые модули, такие как socket.io, которые мне требовались в server.js.

2) Как я могу защитить свое приложение Node server.js? Потому что любой может получить к нему доступ через прямой адрес браузера, например.

 https://example.com/server.js

и это покажет весь простой код, как обычный файл javascript.

В ожидании благодарности за любую помощь.