Валерий Гутин

А ещё в пост вставить картинку с котиком, а через некоторое время (когда пост затеряется и шанс модератора наткнуться на него будет минимальным) - заменить картинку с котиком на изображение листа конопли и натравить на него Роскомнадзор.
В итоге сайт улетает в блокировку, а владельцы некоторое время не понимают, почему кол-во посетителей из России вдруг упало, а найти картинку, к которой РКН придрался, будет весьма сложно, так как факт замены в логах нигде отражён не будет, ибо заменена она будет на стороне стороннего сервера.

Любой ссылки на любой сайт?
Тогда некто может вписать туда, например, ссылку на SVG с эксплойтом и просто подождать, когда страницу, где эта ссылка отображается, откроет администратор сайта.
Или если у вас есть "интересные" страницы с GET-запросами, исполнить которые может только администратор - пишем ее адрес туда же и ждем того же.

Вообще это плохо. По-хорошему, надо выкачивать картинку к себе, валидировать ее там и для пользователей уже показывать со своего сервера.
Странно, что тостер не использует хабрасторадж для этого.

Если выберите вариант URL без trailing-слеша,
нужно будет отключить слеши для директорий - DirectorySlash Off,
иначе получите circular redirect при обращении к ним
("page isn't redirecting properly").

При DirectorySlash Off опция DirectoryIndex внутри директорий игнорируется,
нужно будет добавить правила mod_rewrite уровнем выше для исправления.

При этом, внутри директорий использовать mod_rewite не получится,
правила нужно будет перенести уровнем выше.

#
RewriteRule ^mydir$ /mydir/index.php [L,E=MYVAR:1]
RewriteCond %{ENV:REDIRECT_MYVAR} !1
RewriteRule ^mydir/$ /mydir [R=301,L]

#
RewriteCond %{REQUEST_URI} ^/mydir
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ /mydir/myapp.php [L,QSA]

404 отдавать не стоит, достаточно 301 для ботов от дублей.