Расширение существующей конфигурации местоположения вместо её перезаписи

Что у меня есть

У меня настроен Nginx для обработки файлов .php для всех виртуальных хостов, и все работает хорошо.

location ~ \.php {
    include snippets/fastcgi-php.conf;
    keepalive_timeout 0;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    fastcgi_pass unix:/run/php/php7.4-fpm.sock;
}

Вышеизложенное находится в snippets/common.conf и включается в каждую конфигурацию виртуального хоста. Упомянутый fastcgi-php.conf находится рядом с ним.

Что мне нужно

Для данного виртуального хоста мне нужно запретить доступ ко всем файлам, кроме /example.php.

Что я пробовал

1. location ~ ^/example {
       allow all;
   }
   location ~ ^/ {
       allow 123.123.123.123;
       deny all;
   }
   

   Само ограничение работает хорошо, но PHP файл теперь возвращается как текст исходного кода, вместо обработки. Это означает, что вышеупомянутое каким-то образом перезаписывает предыдущий location ~ \.php, даже если я здесь не включал расширение .php.

2. Создать common-php.conf

   include snippets/fastcgi-php.conf;
   keepalive_timeout 0;
   fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
   fastcgi_pass unix:/run/php/php7.4-fpm.sock;
   

   Повторно использовать его в common.conf:

   location ~ \.php {
       include snippets/common-php.conf;
   }
   

   И в моей фактической конфигурации виртуального хоста:

   location ~ ^/example {
       allow all;
       include snippets/common-php.conf;
   }
   location ~ ^/ {
       allow 123.123.123.123;
       deny all;
       include snippets/common-php.conf;
   }
   

   Проблемы с вышеизложенным:

   • Это значительно усложняет настройку
   • Казалось бы избыточным настраивать /example.php дважды
   • Это не полностью работает, так как я получаю 403, например, на /plugins/Feedback/angularjs/feedback-popup/feedback-popup.directive.html?cb=abcd1234 по какой-то причине. CMS, которую я использую, сложна, и по предыдущим двум причинам я не проводил дальнейшее расследование.

Я хотел бы настроить доступ к файлу /example.php, не перезаписывая существующий обработчик PHP, прикрепленный к нему. Это возможно? Или включения — это мой единственный вариант?

Пожалуйста, дайте мне знать, если вы можете придумать лучшую конфигурацию для этой задачи. Спасибо!

Обновление @ 2025.02.26

Исходная версия этого ответа (можно просмотреть через историю редактирования) не работала по причине того, что директива geo не позволяет использовать переменные для значения производной переменной. При цепочке блоков map и geo блок geo всегда должен быть последним звеном в цепи.

То есть, очень распространенная ошибка заключается в следующем

location / {
    ... некоторые настройки
}
location /admin {
    ... дополнительные настройки
}

и ожидании, что запрос /admin/... использует комбинированные настройки. Этого не произойдет, в зависимости от местоположения, где запрос будет в конечном итоге обработан, будет применен только один набор настроек. Однако, как я уже говорил, каждый запрос может проходить через несколько блоков местоположения, и некоторые трюки можно выполнить, используя манипуляции с переменными. Определенной переменной можно изменить значение несколько раз, пока запрос проходит через разные местоположения, и ее фактическое значение можно использовать в конечном местоположении в качестве параметра директивы. Решение данного вопроса не будет использовать эту технику, но это возможно в некоторых других случаях.

Многие вещи (например, условные заголовки) могут быть реализованы с использованием (очень мощной) функции map в nginx. Альтернатива правилам allow/deny может быть достигнута, комбинируя блоки map и geo, чтобы оценить переменную, действующую как флаг, который указывает, должен ли запрос быть заблокирован или нет (некоторый более общий пример можно найти здесь):

geo $restricted {
    123.123.123.123  0;
    default          1;
}

map $uri $deny {
    /example.php     0;
    default          $restricted;
}

Теперь, чтобы принять решение, должен ли запрос быть заблокирован, вы можете использовать следующий блок if:

if ($deny) { return 403; }

Этот блок может быть размещен либо на уровне server, либо на уровне обработчика PHP. Однако размещение его на уровне server будет более оптимальным, так как оно будет выполнено на более раннем этапе NGX_HTTP_SERVER_REWRITE_PHASE, вместо NGX_HTTP_REWRITE_PHASE.

Если по какой-то причине вы захотите добавить базовую аутентификацию вместо фильтрации по IP, это можно сделать, используя следующий трюк:

geo $restricted {
    123.123.123.123  off;
    default          "Protected area";
}

map $uri $realm {
    /example.php     off;
    default          $restricted;
}

location ~ \.php$ {
    auth_basic $realm;
    auth_basic_user_file /path/to/.htpasswd;
    ...
}