юзер боится что зальют *.хпх и т.д 8) с изображениями юзеается проверка формата , jpg,gif,bmp и т.д если есть в перечисленных форматах , то файл заливается.
если пхп выдать за картинку он же ж не исполнится... вобще обращения к файлам хорошо бы обрабатывать в том же индекс.пхп
та даже если исполнится , то всё-равно ресайз всё покажет защита на защите даже если это нереально ))
в картинку возможно добавить PHP код, который будет обработан на стороне сервера. Поэтому чтобы избавиться от этой уязвимости, картинку минимум сохраняют средствами php, ну а про ресайз уже сказали...