"deny" и "return 403" взаимоисключающие, хватило бы любого из.

насчет того, какой локейшен срабатывает, алгоритм описан, например, вот тут

http://nginx.org/ru/docs/http/request_processing.html

"nginx вначале ищет среди всех префиксных location’ов, заданных строками,
максимально совпадающий. В вышеприведённой конфигурации указан только один
префиксный location “/”, и поскольку он подходит под любой запрос, он и
будет использован, если других совпадений не будет найдено. Затем nginx
проверяет location’ы, заданные регулярными выражениями, в порядке их
следования в конфигурационном файле. При первом же совпадении поиск
прекращается и nginx использует совпавший location. Если запросу не
соответствует ни одно из регулярных выражений, nginx использует максимально
совпавший префиксный location, найденный ранее. "


возможно, у вас порядок локейшенов задан такой, что срабатывает другая
регулярка (я так понял, у вас запрос попадает под обе регулярки)

15 марта 2017 г., 14:55 пользователь valmon <nginx-forum@forum.nginx.org>
написал:

> что делать с "можно слить файлы конфигурации" - в принципе, странно, что вы
>
> об этом думаете заранее.
>
> А не зря, реврайт из модуля для апача отправляет все кроме style|public на
> index.php, тут же, все что не попадает под маску [A-Z][A-Za-z],
> отрабатывается как статика и отображается.
> Добавил
> location ~* "/\.(htaccess|htpasswd|xml|ini)$" {
> deny all;
> return 403;
> , но не работает.
>
> Posted at Nginx Forum: https://forum.nginx.org/read.
> php?21,272923,272943#msg-272943
>
> _______________________________________________
> nginx-ru mailing list
> nginx-ru@nginx.org
> http://mailman.nginx.org/mailman/listinfo/nginx-ru
>
_______________________________________________
nginx-ru mailing list
nginx-ru@nginx.org
http://mailman.nginx.org/mailman/listinfo/nginx-ru