Если я идиот, то перейду по ней. Если нет - у тебя ничего не получиться. Идиотов защитить невозможно.. Парадоксально, но факт.

А че тут защищать-то? Все изображения передаем с Content-type: image/jpeg . Если браузер писали не идиоты - все скрипты внутри него не выполняться. Локальный инклуд файла не поможет т.к. jpeg файлы (как и другие картинки) сервер не обрабатывает, а просто передает (если админ не идиот конечно же).

Нет. Можно и без геморроя: всего лишь определять является ли файл картинкой или нет.