Возможно вы не знакомы со спецификой веб-разработки, но язык программирования и веб-сервер играет важную роль в том, будут ли видны папка с содержимым репозитория из внешней среды (интернета).
Mercurial и git создают одну папку со служебными данными в корне проекта. Subversion, напротив, мусорит в каждом каталоге. В случае проекта на PHP в одном каталоге свалены и html и php файлы. Apache натравливают на этот каталог, забывая написать правило для исключения .svn или .hg папок, поэтому они становятся доступными из внешней среды по адресу http://example.com/.svn
Но на других языках, таких как ruby и python принцип написания веб-приложения совсем другой. В корне проекта содержится исходный код, в одной из папок содержатся статтичные файлы, такие как шаблоны. Запускается веб-сервер на языке разработки, а Apache, например, служит только для отдачи статики. Проблема с папками репозитория можут возникнуть только если мы используем Subversion (он мусорит в каждой папке, в том числе например и например в папке images, на которую натравлен Apache). В случае c Mercurial и Git папки со служебными данными размещаются в корне проекта (а веб сервер натравлен только на папку со статичными даннми, например public). Поэтому из внешней среды они доступны не будут.
Резюмируя, проблемы с безопасностью в случае репозитория на боевом сервере будут только в том случае, если разработчик не соблюдает элементарные правила безопасности (правит на сервере, настраивает веб-сервер кое-как). Но такой разработчик наверняка наделает кучу других дырок, через которые его смогут поломать. А для грамотного и внимательно разработчика такой угрозы не стоит и в этом случае, отправка кода на сервер с помощью DCVS - всего лишь удобный инструмент.