Subir archivos al servidor desde PHP

La gestión de ficheros subidos debe hacerse con sumo cuidado, pues puede ser la puerta a posibles ataques.
Asegúrate de que el fichero subido que vas a manipular es, efectivamente, un fichero subido (is_uploaded_file();). Asegúrate de que cumple con los requisitos necesarios en cuanto a peso y extensión del fichero. La función getimageize() te permitirá comprobar si los ficheros con imágenes contienen realmente imágenes (la extensión del nombre del fichero no sirve de nada por sí sola). También podrás estudiar sus dimensiones, para evitar imagenes demasiado grandes o pequeñas.
Usa move_uploaded_file cuando tengas que mover. Es más eficiente y seguro que una copia tradicional.
Y no olvides buscar expresiones extrañas en el nombre del fichero. No aceptes ficheros con caracteres que puedan provocar movimientos en el sistema de ficheros ni que contengan expresiones sospechosas.
Combínalo con una dirección base de referencia.