зависит от настроек вашего веб-сервера.
Если вы используете общий веб-хост, в некоторых компаниях есть папки, доступные через Интернет, для каждого клиента общего хоста, другие предоставляют недоступные для общего доступа папки. Чтобы проверить этот логин через ftp и если вы видите либо www, либо public-html, то все, что не находится в этой папке, не должно быть доступно.
Если у вас есть общедоступная папка, хорошо!
Учись любить move_uploaded_file() инструкция .
Просто установите папку назначения move_uploaded_file в папку, которая не находится в корневом веб-каталоге, и все в порядке.
Если у вас нет недоступной для публичного доступа папки, вам понадобится магия .htaccess. (Вот начальная точка .)