Когда выполнился PHP код, то ясное дело что JS скрипты расположены в head в HTML, так пользователь получает JS скрипт вместе с HTML или он скрывается как и PHP?

Предложение не очень понятное)
Насчет темы вопроса. Да получает. js выполняется на стороне клиента, а значит клиент имеет доступ к исходному коду.

Ну то не опасно, он же не взломает сайт по JS? если даже в коде JS имеется стиль шаблона (часть)?

Если php код написан нормально, то не взломает.
А если нет, то через ajax запросы может что-то сделать.