Какие файлы считаются небезопасными для загрузки на сервер?
Все файлы небезопасны. Можно загрузить картинку, в которой будет исполеяемый код.
Вы должны настроить сервер (nginx/apache) так, чтобы в папке где будут загруженны клиентами файлы, в принципе нельзя было исполнять НИКАКИЕ файлы.
Все файлы безопасны. Можно загружать и .php и .apk, главное запретить исполнение и разрешать только скачивание. 
Отдельно конечно вопрос по содержимому, так как зальют вам вирус - за это сайт выкинет гугл или яндекс или попадёте в чёрные списки. Зальют картинку или видео с сомнительным содержимым, уже придёт роскомнадзор или хостер выкинет вас или регистратор заблокирует домен.