Ja, solche Ideen hatte ich auch schon. Mein Provider hat mich jedoch dermaßen eingemauert, dass ich hiervon gar nichts realisieren kann. To do: dendirs=/denied/dir /foo/bar ..
in der Konfiguration als zusätzliches Attribut für die Klassenbindung an den Backend-URL. Dann wird das UploadForm nur gezeigt, wenn in der betreffenden Directory geschrieben werden darf. Fertisch ;)