Насколько адекватно я совершил трюк с убиранием папки web?
Ужасный трюк
Сервер должен смотреть в публичную папку, где есть ТОЛЬКО точка входа и статичные файлы
Костыль с разруливанием в htaccess уже фигня
Ваш "трюк" -- совсем фигня
И теперь у вас ссылка вида http://site.com/composer.json возвращает то что надо?
Обработчик index.php прячут для того, чтобы закрыть возможность блуждания пользователя по дочерним директориям, а не для забавы ради. Несомненно, всё будет работать (если правильно настроить), но вот только теперь вам нужно во все поддиректории корневой папки добавить по файлу htaccess, чтобы запретить туда доступ. Где профит?