avalak

Rewrite не нужен.

location /admin {
    return 301 https://example.com/$request_uri;
}

location /path/to/script.php {
    if ($arg_id !~ ^\d+$) {
        return 403;
    }
}

location ~ ^/install(\d+)/(app|config|data)/ {
    deny all;
}

~ — case sensitive
^ — начало строки
(\d+) — одна или более цифр
(app|config|data) — совпадает с app или config или data

Лучше всего если эти данные вообще не будут доступны (будут вне webroot) тогда их и защищать не придётся.

Кэш тут не нужен. Совсем. Либо поясните зачем он вам (чего хотите добиться этим).

    ## Serve static
    ## root укажите, если надо
    ## такая регулярка лучше
    location ~* \.(?:js|css|png|jpe?g|gif|ico|htc)$ {
        expires max;
        access_log off;
        log_not_found off;
    }

Nginx wiki:
error_page
proxy_intercept_errors

400 Bad Request — сервер обнаружил в запросе клиента синтаксическую ошибку. Сомневаюсь что повторный запрос решит проблему.

Используйте supervisord.

В общих чертах это будет примерно так. Microcosm не использовал, вероятно придётся немного допилить конфигурацию.

    ## Microcosm
    location /api/
    #location ~ ^/api/(.*)
    {
        ## NOTE: You should have "cgi.fix_pathinfo = 0;" in php.ini
        fastcgi_pass php_backend; # указать upstream
        
        root /path/to/microcosm/m/; # каталог с microcosm.php или прописать $document_root
        fastcgi_index microcosm.php;

        include fastcgi_params;
        #fastcgi_param QUERY_STRING $query_string;
        #fastcgi_param REQUEST_URI $1;
        fastcgi_param SCRIPT_FILENAME $document_root/microcosm.php;
    }

Набросал базовый конфиг.
try_files быстрее и предпочтительнее чем rewrite.