Php e Java servlet: upload files

[kalosjo]

in genere, tranne casi particolari, i file non si salvano nel db.
i file si salvano nelle directory, e nel db si salvano i nomi e i path per recuperarli.
questo a prescindere dal linguaggio che si usa.

quindi direi di inviare alla servlet le varie informazioni da salvare nel db, e salvare i file in directory (che non sono directory apache, ma directory del filesystem).

E questo mi agevola in tante cose.
Ma se devo salvare in dir del filesystem, devo darle in scrittura, no? E non pago in sicurezza?