Hvis du skal bruge koden, på et offentligt site, er det bedst hvis du kun tillader de mest gængse karakterer i mappenavnet. På den måde undgår du at folk sender mappenavne som f.eks. "../../mappe-uden-for-fotoalbum-roden".
Du kan gøre det nemt med "preg_replace" funktionen
- $uploaddir = preg_replace('/[^a-z0-9 _-]/i', '', $_POST["destination"]);