nginx 禁止目录中的所有 .php 访问，但允许部分 .php 文件访问（附 Discuz! X3 论坛可写入目录禁止执行 PHP，附匹配不包含某个字符串的正则表达式）
首先，禁止网站下所有 .php 等文件均不允许被访问到。
在 nginx 网站配置文件中，include enable-php-**.conf; 上方插入：
location ~ ^/.*\.(php|php5|py|sh|bash|out)$ { deny all; }其中，^ 匹配开始，/.* 匹配所有目录和文件名，\.(php|php5|py|sh|bash|out) 匹配文件后缀名，$ 匹配结束。
即便如此，仍然忽略了 nginx 中 .php 文件名后加斜杠仍然能访问到的情况，譬如我们访问这个网址：
https://xoyozo.net/phpinfo.php/abc.htmlnginx 仍然运行了 phpinfo.php，给了后门可趁之机，所以改进为：
location ~ ^/.*\.(php|php5|py|sh|bash|out)(/.*)?$ { deny all; }Discuz! X3.4 需要写入权限的目录：
/自研目录/upload/
/config/
/data/
/uc_client/data/
/uc_server/data/
/source/plugin/
但，这些都不重要，我们已经禁止了所有目录的 .php 访问了。
第二步，解禁需要直接被访问到的文件路径。
Discuz! X3.4 根目录下的 .php 文件都是入口文件，需要能够被访问到：
/admin.php
/api.php
/connect.php
/forum.php
/group.php
/home.php
/index.php
/member.php
/misc.php
/plugin.php
/portal.php
/search.php其它目录中需要被直接访问到的文件：
/archiver/index.php
/m/index.php
/uc_server/admin.php
/uc_server/avatar.php
/uc_server/index.php部分插件文件需要能够被直接访问到：
/source/plugin/magmobileapi/magmobileapi.php
/source/plugin/smstong/accountinfo.php
/source/plugin/smstong/checkenv.php另外如果有自建目录需要有 .php 访问权限，那么也需要在此处加白，本文以 /_/ 目录为例
最终拼成：工具
location ~ ^(?:(?!(/admin\.php|/api\.php|/connect\.php|/forum\.php|/group\.php|/home\.php|/index\.php|/member\.php|/misc\.php|/plugin\.php|/portal\.php|/search\.php|/archiver/index\.php|/m/index\.php|/uc_server/admin\.php|/uc_server/avatar\.php|/uc_server/index\.php|/source/plugin/magmobileapi/magmobileapi\.php|/source/plugin/smstong/accountinfo\.php|/source/plugin/smstong/checkenv\.php|/_/.*\.php))/.*\.(php|php5|py|sh|bash|out)(/.*)?)$ { deny all; }这里用到正则表达式中的“不捕获”和“负向零宽断言”语法，格式为：
^(?:(?!(允许的目录或文件A|允许的目录或文件B))禁止的目录和文件)$值得注意的是，此句负向零宽断言中的匹配内容是匹配前缀的，也就是说
https://xoyozo.net/index.php
https://xoyozo.net/index.php/abc.html都可以访问到，而
https://xoyozo.net/forbidden.php
https://xoyozo.net/forbidden.php/abc.html都访问不到，这是符合需求的。
如果自建目录 /_/ 下有写入需求，单独禁止即可，以 /_/upload/ 为例：
location ~ ^/_/upload/.*\.(php|php5|py|sh|bash|out)(/.*)?$ { deny all; }ThinkPHP 网站有统一的访问入口，可按本文方法配置访问权限。
特别注意：上面的代码必须加在 PHP 引用配置（include enable-php-**.conf;）的上方才有效。
附：一键生成 nginx 访问控制 location URI { } 语句工具
