Softer

Первое - if is avil
Второе - (как-то так, действовать по аналогии)

rewrite ^/(.+)-([a-z])$ /$2/$1.html permanent;

Никак. Т.е. забить. Это обычные скрипты - сканят кого бы еще поломать в интернетах. Ну или внести такие УРЛы в черный список и отдавать им 403.

Через белый список.

location ~* ^(file1|file2)\.php {
    # FastCGI here
}
location ~* \.php {
    deny all;
}

server_name дожен быть разным.

Можно сделать 3 location, а корень увести в 404.
Можно сдедать 1 location ^/(news|forum|shop), а корень увести в 404.
Можно сделать map с регулярной по request_uri и от переменной уводить в 404.

Мне нравится второй вариант :)

Я думаю тут стоит использовать map
Для дефолта переменная будет пуста, для "~^symfony" - "/public". А потом клеить к root ее.

location = / {
  content_by_lua_file /var/www/html/index.lua;
  lua_code_cache off;
}

GET-параметры не проверяются в location. Только URI.
GET в $args в общем и в $arg_o1 в частности.