Hello,
wenn die Grafik-Datei exact für diesen einen Request erzeugt wird, dann könntest Du sie auch unter einem kryptischen Namen in einem spzeiellen Verzeichnis ablegen. Wenn der Name irgendwo definiert acuh das Datum der Datei enthält, kannst Du sie später durch einen Cronjob wieder aufräumen lassen.
Das sorgt dafür, dass du im eigentlichen Script nur Dein Erzeugungsscript aufrufen und mit Parametern füttern musst, dieses erzeugt eine Datei udn einen Namen, den Du dann in Antwort auf den request einbaust. Der User hat dann auf das erzeugende Sript überhaupt keinen Zugriff mehr.
Ein harzliches Glückauf
Tom vom Berg