когда у меня было так

location ^~ /admin/ {
root /var/www/user/data/public_html;
allow 187.233.0.0/16;
deny all;
}

если заходишь в папку admin то 403
если набираешь admin/index.php то nginx позволяет скачать php файл (хоть на папке и 403)

вот. но выше я написал как работает.