Можно ли осуществить взлом сайта через $_SERVER['REQUEST_URI'] ?

@grigor007 да. можно даже без strip_tags

Если надо православненько сделать, тогда: filter_input(INPUT_SERVER, 'REQUEST_URI', FILTER_SANITIZE_URL)

Доки: php.net/manual/ru/ref.filter.php

Как настроить nginx proxy_pass + кеширование ?

Файлы можно выделить маской по расширению

location ~* \.(txt|csv|xls)$ {
...
}

Документация: nginx.org/ru/docs/http/ngx_http_core_module.html#l...

Можно ли осуществить взлом сайта через $_SERVER['REQUEST_URI'] ?

@grigor007 ссылку на форму не обязательно давать на сайте. Вы можете подделать корпоративную рассылку, в которой будет "заряженная" ссылка.

Можно ли осуществить взлом сайта через $_SERVER['REQUEST_URI'] ?

Дать "заряженную" ссылку на форму в ленте социальной сети, например.
У всех открывших появится алерт с текстом "xss".

Изменив скрипт, можно угнать куки. Если механизм сессий такой же дырявый как и форма (не проверяет IP для сессии), то атакующий может перехватить сессию и войти на сайт под учеткой пользователя открывшего ссылку.

Как настроить nginx proxy_pass + кеширование ?

1. Инициализация кэша в основном конфиге:

http {
...
proxy_cache_path /var/www/cache levels=1:2 keys_zone=cachename:8m
max_size=1000m inactive=600m;
proxy_temp_path /var/www/cache/tmp;
...
}

Подробнее о ключах можно прочитать тут: nginx.org/ru/docs/http/ngx_http_proxy_module.html#...

2. Создание location

server {
listen *:80;
server_name your.front.host.com;
...
location / {
proxy_pass your.back.host.com/;
proxy_cache cachename;
...
proxy_cache_valid 200 302 10m;
proxy_cache_valid 404 1m;
}
...
}

Параметр для proxy_cache обязательно должен быть таким как keys_zone, в примере "cachename"

Параметр proxy_cache_valid устанавливает время жизни кэша в зависимости от ответа. В примере, ответы с кодом 200 и 302 будут закэшированы на 10 минут, а 404 на 1 минуту.