хорошо, вы можете хранить загруженные файлы вне директории сервера. так что если у вас корневой каталог сервера / www / htdocs, вы можете сохранить файлы, скажем, / загружены. так что используйте что-то вроде
move_uploaded_file($_FILES['file'],'/uploaded')
таким образом, ваши файлы будут недоступны для внешнего мира