Сохранение файла на сервер

[max74max]

Здравствуйте.
Я сохраняю .txt файл с именем $filename, который вводит пользователь, в директорию на сервере.
Достаточно ли такой регулярки, чтобы избежать передачи пользователем какого-нибудь абсолютно пути или еще чего-нибудь, что могло бы стать неожиданностью и выполниться не так, как ожидается?
В общем, безопасен ли такой способ?

PHP код:

$filename = preg_replace("/[^а-яa-z0-9_+()!.-]/", "", $filename);
$expansion = mb_substr($filename, -4);
if($expansion != ".txt"){
die('Not .txt');
}
//...далее запись на диск 


[Agency]

Наверное использовать регулярку нет смысла, да и проверка на расширение имени файла особо ничего не даст. Если не ошибаюсь в форме загрузки html можно настроить отображение только определенной группы файлов по расширению. Если файл будет подготовлен коварным хакером, то он может задать любой расширение, в т.ч. и тхт.
А так при загрузке на сервер файл сначала попадает в буфер, потом его желательно переименовать, и тут теряется смысл предварительной проверки которая тобой осуществляется.