在Nginx中禁用指定目录脚本执行权限，需用^~精准匹配目录（如^~ /uploads/），在其内部嵌套正则location拦截.php等扩展名并deny all，同时拦截.^开头文件和.git等敏感路径，最后通过nginx -t和curl验证生效。
在 Nginx 中禁用指定目录的脚本执行权限，本质不是“让 Nginx 不执行脚本”，而是**阻止请求被转发给 PHP、Python 等后端解释器**。关键在于用 location 精准圈定目录范围，并在其中移除或覆盖 fastcgi/uwsgi 代理配置，同时拦截常见脚本扩展名。
用 ^~ 锁定目录路径，避免误伤和绕过
对明确的敏感目录（如 /uploads/、/static/、/configs/），必须使用 ^~ 前缀匹配：
-
^~ /uploads/匹配所有以/uploads/开头的 URI，包括/uploads/1.php、/uploads/img/test.py - 结尾斜杠不能省：写成
/uploads会意外匹配/uploadserver这类路径 - 多个目录可分块写，不建议合并正则——清晰、高效、优先级可控
在目录块内禁用脚本解析，而非全局删除
不能只在 server 块顶部写 location ~ \.php$ { deny all; }，否则会全局禁止 PHP，连 /index.php 都无法运行。正确做法是：在目标目录的 location ^~ /xxx/ 块内部，嵌套更细粒度的匹配：
location ^~ /uploads/ { location ~ \.(php|py|sh|pl|jsp|asp|cgi)$ { deny all; } }- 也可加
return 403;或return 404;，语义更明确 - 如果该目录下完全不需要 FastCGI，可显式取消继承：
fastcgi_pass off;（部分版本支持）或直接不配置fastcgi_pass
补充隐藏文件与版本目录的正则拦截
上传目录常被用于存放 .git、.env、composer.json 等敏感文件，需额外用正则覆盖：
-
location ~ /\. { deny all; }—— 拦截所有以点开头的路径（注意\.是转义） -
location ~* ^/(.git|.hg|.svn|\.env|composer.json|package.json)$ { deny all; }—— 精确匹配根路径下的高危项，$防止误伤/gitlab -
~*表示不区分大小写，适配.GIT或.Env等变体
验证是否生效，别只靠 reload
配置完成后必须验证，光重启 Nginx 不代表规则起作用：
- 执行
nginx -t确认语法无误 - 用
curl -I http://yoursite.com/uploads/test.php检查返回码是否为403或404 - 测试子路径：
/uploads/subdir/malware.py、大小写路径：/UPLOADS/BACKUP.PHP（若用了~*） - 确认正常资源仍可访问：
/uploads/logo.png应返回200，且 Content-Type 正确
