Защита в php от загрузки вредоносных скриптов на сервак при загрузке файла?
элементарно: достаточно сделать так, чтоб загруженные файлы не выполнялись как код.

 Представляют ли опасность только файлы, у которых расширение .php? опасность предоставляют любые файлы, без оглядки на расширение. особенно, на никсах, где расширение не роялит.
Запрет прямого вызова загруженных файлов (с указанием папки) при обращении к ним через браузер.

При необходимости прямого запроса загруженных файлов из браузера - создаётся промежуточная папка-"отстойник": валидация "тела" файла скриптом на соответствие ожидаемому формату и перемещение в папку прямого доступа, если файл прошёл проверку.