Имел ввиду, забыл уточнить, локейшены в которых явно подразумевается одна конкретная директория!

А локейшены и такими бывают, точнее должны быть в нормальных сайтах на фреймвёрках.
<code>
    location = /index.php
    {
        return 404;
    }
    location ^~ /.
    {
        return 404;
    }
    location /
    {
        try_files $uri @php;
    }
    location @php
    {
        fastcgi_read_timeout 30s;
        fastcgi_param SCRIPT_FILENAME $document_root/index.php;
        include fastcgi_params;
        fastcgi_pass unix:/run/php-fpm.sock;
    }
</code>
Где index.php едиинственный скрипт в $document_root а всё остальное статика.
А весь код лежит за пределами $document_root и недоступен nginx-у.