xmoonlight

Тут смотрите.

Проверяйте поле %{HTTP_REFERER}.

handler для нужных типов должен быть прописан в .htaccess

Перенаправляет по 3-му правилу.
Т.к. запрос: это не файл, ни директория, ни символическая ссылка.
Чтобы срабатывало 1-е правило, нужно в нём убрать: -f, означающее, что правило работает только при запросе файла.

RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule ^(.*)$ $1[L]

Только через ajax запрос к файлу с этого же доменного имени.

Можно сделать доступным двумя способами:
1. Или для конкретного пользователя (через сессию)
2. Или для всех подряд

Других вариантов - нет.

PS: CORS - влияет только на доступ через AJAX с другого домена ИСКЛЮЧИТЕЛЬНО ТОЛЬКО ИЗ БРАУЗЕРА!, но никак не защищает от прямого вызова! Например, через консольный curl.

Сделайте роут-поинт на PHP-скрипт и в нём обрабатывайте все запросы.

Надо убрать редирект при отсутствующих страницах.
А именно: перенести правило исправления из .htaccess в скрипт URI-роутера и там выполнять исправление урла с закрывающим слешем и не выполнять при 404.

Замените
RewriteCond %{SERVER_PORT} !^443$
на
RewriteCond %{HTTPS} !=on
Ну и скачайте Screaming Frog Seo Spider и потестите.

которые имеются на сайте перестали быть регистрозависимыми

Вы ошиблись) Правильно: "перестали быть регистроНЕзависимыми".

Не поможет NC никак: пути у Вас ищет *никс в регистрозависимом режиме.
Если исправлять - то только внутри скриптов или приводите все папки в соответствие с их именами при обращении из скрипта. (ссылки - формируют скрипты же...)

Максимально обезопасить возможно только в случае, если движок блога расположен выше www-директории.
А доступ к нужной публичной директории (site.com/blog) - предоставляется из центральной точки, являющейся роутером запросов: php-файл или правила .htaccess.
И тоже самое - для другого движка, стоящего рядом.

1. Для защиты от атак (входящие запросы GET/POST и т.д.): читаем здесь.
2. Для контроля запуска shell-функций : php-security
3. Runkit Sandbox (для подмены стандартных функций на свои): здесь

тут

Тут правила для .htaccess