英語で説明するのは難しそうなので、日本語で書きます。

結論から言えば、そこまで判っているなら大丈夫、です。
最初のアップロードで、まずはDocumentRoot外のいずれかのフォルダにコピーします。$_FILES使えば良いでしょう。
この時点では、それだけでokです。

次の承認ステージでOKなら、そのフォルダから、/modules/mail/attachments
にコピーするのですが、その前段に、ファイルの拡張子チェックを入れれば良いでしょう。MIME-Typeチェックは本質的には何の意味もないので、何もしなくて良いですよ。

あとは、cronを回して、そのフォルダの古いファイルを消すだけです。

大事なのは、ファイルを一時的に保存するフォルダを、DocumentRoot外とすることです。そうしないと、アップロードした直後にアクセスされます。

一次保存先をDBとしても良いでしょうね。それなら、cronすら要りません。