Как в nginx настроить так, чтобы php файл нельзя было открыть по прямому адресу?

Question

[Александр Урих]

Есть сайт на PHP, работает под nginx
В нем много PHP файлов, но входной скрипт только 1 - index.php
Но по прямой ссылке на файл можно его запустить, например если в браузере перейти /vendor/autoload.php то он попытается открыться.
Соответственно, если на сайте есть уязвимости, позволяющие загрузить PHP то можно его выполнить.
Я хочу, чтобы, если перейти на любой URL кроме index.php например отдавать 404
Переписывать сайт возможности нет
текущий конфиг:

server {
    charset utf-8;
    client_max_body_size 128M;
    server_name site.ru;
    root        /home/username/www/web/site.ru;
    index       index.php;
    access_log  /home/username/www/log/site.ru.access.log;
    error_log   /home/username/www/log/site.ru.error.log;
    listen 80;

    location ~ \.(js|css|gif|png|jpg|jpeg|swf|ico|mov|fla|zip|rar|woff|woff2|ttf|eot|svg)$ {
        root /home/aurich/www/web/site.ru;
    }

    location / {
        try_files $uri $uri/ /index.php$is_args$args;
    }

    location ~ \.php$ {
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_pass unix:/run/php/php82-fpm.sock;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $remote_addr;
        try_files $uri =404;
    }
}

Comments

[Дмитрий]

Вынести файл за пределы root? Как и должно?

[Александр Урих]

Дмитрий, да, это лучший вариант, но пока нет такой возможности

[Дмитрий]

location /vendor {
        deny all;
        return 404;
}

[Александр Урих]

Дмитрий, тем более что все равно можно залить рядом с index.php свой скрипт и вызывать его

[Дмитрий]

Александр Урих, не понял? если у вас пользователь может залить свой скрипт то о какой безопасности вы говорите?
возьмите любой фреймворк и посмотрите на структуру - у вас в папке public которая является root - лежит index.php и assert. Весь остальной код вынесен за пределы public и соответственно не доступен

[dodo512]

Александр Урих, просто в location ~ \.php$ { добавить internal и на прямые запросы к php будет 404.
А запросы которые try_files перенаправит на index.php будут обрабатываться как обычно.

[Александр Урих]

dodo512, то что нужно. Спасибо

[Александр Урих]

Дмитрий, в данный момент нужно максимально быстро все закрыть. Я знаю что index.php нужно вынести, но портал работает и бизнес не дает вносить изменения вне релиза