да нахрена вы такие сложности то придумываете.
Нужно:
а) проверять расширение файла (символы после последней точки) на предмет соответствия списку разрешенных (их всегда будет меньше чем запрещенных и так надежнее т.к. ничего случайно не упустишь)
б) чтоб были прямыми руками настроены mime типы (т.е. чтоб не случилась касяка с выполнением картинки как скрипта)

все, имхо.