¿Puede el usuario manipular el valor que devuelve php_sapi_name ()?

Tengo un script que se ve así:

if( php_sapi_name() !== "cli" ){
   die( "NoAccess" );
}

// Do some admin stuff

Este script solo debería llamarse (!) A través de la línea de comandos. ¿Es seguro el código anterior? ¿O alguien puede llamar al script a través de HTTP y ejecutarlo más allá de la condición if?