Caricamento immagine sicuro, o Bypassare controllo mime di tipo PHP

Quando si proteggono i caricamenti di immagini ci sono fondamentalmente tre approcci che conosco (ovviamente, idealmente, tutti e tre sono usati):

1. controlla l'estensione del file
2. archivia i file caricati nella directory non eseguibile al di fuori del webroot
3. controlla il contenuto / il tipo mime del file

Per il terzo punto, ci sono varie funzioni PHP suggerite, molte delle quali possono essere scavalcato codificando il codice in chunk IDAT . Ecco i risultati che ottengo:

<?php $image = 'imageshell.png';

echo exif_imagetype($image);
// -> 3 (IMAGETYPE_PNG)

echo "<br>" . getimagesize($image)[2];
// -> 3 (IMAGETYPE_PNG)

echo "<br>" . mime_content_type($image);
// -> image/png

echo "<br>" . finfo_file(finfo_open(FILEINFO_MIME_TYPE), $image);
// -> image/png

echo "<br>" . finfo_file(finfo_open(FILEINFO_MIME_TYPE, "/usr/share/misc/magic"), $image);
// -> application/octet-stream

In sostanza ho queste domande ora:

1. Perché il risultato è diverso se passo un file magico (non dovrebbe accettare il file come file immagine, poiché è quello che effettivamente è?), che cos'è esattamente un file magico e che cosa fa PHP integrato sembra un file magico?
2. Posso controllare in anticipo se il sistema ha un file magico che consentirà di identificare correttamente una non immagine o un'immagine che contiene codice PHP?
3. Se non riesco, c'è un approccio migliore per verificare se un file immagine contiene codice PHP?
4. È forse possibile ignorare l'ultimo controllo - quello risultante in application/octet-stream - come pure?