и это правильно

нет, сам запрос ничем не грозит. В принципе сама картинка серверу может угрожать только при наличии LFI уязвимости в скриптах. В IE6 через картинку можно было проводить XSS, но при условии что она открыта отдельно, а не в <img>. Не сумев распознать её как какртинку, ищачок начинал интерпретировать её контент, как html... Но сейчас вроде таких дырок в браузерах нет, хотя кто знает где, и что может вылезти ...
На счет убедится что в файле действительно изображение, и ничего лишнего, знаю только один способ, открыть её через GD. В случае если в файл внедрен код, или он просто поврежден, imagecreatefrom... возвращает false.