1. 上传的时候不依靠Content-Type来做文档类型验证，可以参考我在这里的回答如何判断浏览器上传文件的真实类型？
2. 上传的图片文件放到web 目录外的地方，限定好权限，图片展示的时候，可以使用另一个域名。
3. 强制服务器给静态文件发送正确的文件头，避免图片中的代码被执行 参考http://nullcandy.com/php-image-upload-security-how-not-to-do-it/

ForceType application/octet-stream
<FilesMatch "(?i)\.jpe?g$">
    ForceType image/jpeg
</FilesMatch>
<FilesMatch "(?i)\.gif$">
    ForceType image/gif
</FilesMatch>
<FilesMatch "(?i)\.png$">
    ForceType image/png
</FilesMatch>