что делать с "можно слить файлы конфигурации" - в принципе, странно, что вы
об этом думаете заранее.

А не зря, реврайт из модуля для апача отправляет все кроме style|public на index.php, тут же, все что не попадает под маску [A-Z][A-Za-z], отрабатывается как статика и отображается.
Добавил
location ~* "/\.(htaccess|htpasswd|xml|ini)$" {
deny all;
return 403;
, но не работает.