Hi Alex,
Oder einfach ("/oben.html"), dann geht er vom Wurzelverzeichnis aus und du brauchst dir keine Gedanken machen, von wo du den Spaß einbindest.
Mehr dazu findest du hier
Bist du dir da sicher? In php kann man auch auf Verzeichnisse außerhalb des "www-root"s zugreifen, zB haben einige PHP-Anwendungen config-Verzeichnisse, die (nicht nur aus Gründen der Ordnung) außerhalb liegen. PHP hat auch Zugriff auf /etc/password, wenn ich da richtig liege. Ansonsten bräuchte man sich um Sicherheitslücken in PHP kaum Gedanken machen...
gruß, Thorsten