gefragt hab ich mich das eben auch, als ich das von dem \ erfahren hab.
das der IE den pfad mitschickt, ist aber eh ein bug;
wenn schickt der IE dann eh den vollen pfad, also
[laufwerk]:\
darauf kannst du dann als erstes prüfen.
wenn das dann so an kommt, würde ich verfahren wie bisher (wenn sich ein spassvogel die mühe macht, die datei c:\foo\bar.uhu zu nennen, dann siehst du denn namen eben nur als bar.uhu) und dann würde ich noch alle seltsamen zeichen wie z.b. ?:\/ ... durch _ ersetzen.
bedenke nämlich auch, dass man dir irgendwas als dateinamen senden kann (also nicht mit browser, sondern selbst programmiert über ein script).
erwarte also auch immer unmögliches.