Валентин,
Я с Вами полностью согласен и солидарен.
Много думал и имею 2 варианта, либо выносить все наружу и будет аксес просто в index.php при любом запросе,
lибо оставить как есть, и попробовать на уровне nginx блокировать доступ ко всем файлам на диске кроме index.php
т.е. в какой-то мере не загружать php если начнется что-то неприятное. На самом деле, раз речь идет о фреймворке, то теоритически все равно, даже если все будет направлено на index.php (try files "" /index.php;) . Не думаю, что кому-то сильно понадобиться пробовать скачать файлы, а если будет атака, то ее можно на любой УРЛ кидать, который итак перекинется на index.php

Но по прежнему интересно, уже более академически, возможно ли как-то определить физические файлы при работе с фреймворком, где паттерн УРЛа может быть абсолютно неопределенным. Возможно, что нет, и наверно тогда лучше с одним if работать, проверяя наличие referrer.