Kurzum: Keine Dateinamen, kein URL für das Bild. Fürs src-Attribut wird ein Blob-URL erzeugt und der Salat ist gegessen. Gespeichert werden nur die Binaries, der Dateiname ist tabu und fertig. Falls Du serverseitig dennoch einen Namen fürs FS brauchst, und direkte Bild-URLs OK sind, bilde von der Binary eine MD5-Checksumme als Base64-String, der ist ASCII und eindeutig, es sei denn die Binaries sind gleich. Das ist immer noch einfacher als das Gewurschtl mit dem vom Browser gelieferten Namen. Schade um den Artikel.

Du machst mich etwas neugierig mit deiner Aussage. Meine Bilder zeige ich wie folgt an

echo "<img src=\"media/test/$es_titelbild\" width=\"300\" alt=\"Profilbild von $es_titelbild\">";

Du schreibst keine Dateinamen, keine URL, wie soll ich dann bitte meine Bild aufrufen können? OK mir wäre auch lieber, dass ein User das Bild nicht direkt über ein Link aufrufen kann und vielleicht noch auf einer anderen Seite verlinkt, aber alles was ich im Browser sehe, habe ich doch im Speicher, sprich an das Bild komme ich so oder so?

Meine Ausgabe sieht so aus

/test/45bc1be534c3c5258a5c27ddba1d2bdc08fae9a5e4afccf47ebc426bd74e3e42_6.jpg

Die Gefahr, dass ich hier ein Namen doppelt habe ich so gut wie ausgeschlossen. Den Namen lasse ich so erzeugen

$tocken = hash('sha256',session_id().$profilbild);