Masonry наплевать результатом чего сервер вернул запрошенную страницу, он об этом даже и не знает. Для него важно, чтобы html-код под этот плагин отвечал его ожиданиям. А что
<a href="#" class="im"><img src="<?= $row['images']?>" /></a>
что
<a href="#" class="im"><img src="'.$row['images'].'"</a>
это одно и тоже, с разницей в том, что в первом случае это вставка РНР код непосредственно в вывод HTML, а во втором случае, это вывод строкового значения конструкцией echo:
echo '<a href="#" class="im"><img src="'.$row['images'].'"</a>';
поэтому и РНР код в них прописывается согласно определению. <?= $row['images']?> тоже самое, что и <?echo $row['images']?>.