Premýšlam ale že tie extensions vypnem. Aby som prípadným zlodejom podľa možnosti skomplikoval sťahovanie obrázkov
To nedává smysl.

Jakému stahováním to přesně má bránit? Pokud to je prohlížeč schopný zobrazit, tak musí vědět, co je to za typ. A cokoliv bude ty obrázky stahovat, ať už addon v prohlížeči, curl, python..., tak má úplně stejné možnosti. Vlastně ještě větší, protože když na to přijde a budu ti ty obrázky chtít ukrást, tak si je prostě postahuju, a pak na ně pustím
file, co ten typ uhodne podle magických čísel a struktury, a tím pádem si to zobrazím, i pokud prohlížeč bude v koncích.
$ file /tmp/foo
/tmp/foo: PNG image data, 1236 x 614, 8-bit/color RGBA, non-interlaced
A proti stahování náhodným zkoušením všech možných filenames stačí ten hash-like name - procházet všechny permutace je prakticky nereálné. A mimochodem, zkrátit ho o tři znaky naopak situaci zjednodušuje (stačí mi zkusit jenom
5b17f8185e71449983e3600a0c2d8527 místo
5b17f8185e71449983e3600a0c2d8527.jpg,
5b17f8185e71449983e3600a0c2d8527.jpeg,
5b17f8185e71449983e3600a0c2d8527.png, ...)
Když příponu necháš, tak, jak už tu zaznělo, to můžeš nechat servírovat Apachem nebo Nginxem a bude to mnohem rychlejší a jednodušší.