最有效方式是用location ~* .(conf|log|env|bak|swp|yml|yaml|htaccess|gitignore)$ { deny all; }，需锚定结尾、正确分隔扩展名、置于server末尾，并配合location ^~ /.git/ { deny all; }等前缀规则及try_files $uri =404防护php文件泄露。
直接结论：用 location ~* 匹配后缀 + deny all 或 return 404 最有效，但规则位置错、大小写没处理、PHP 类型漏防护，都会让禁止失效。
location ~* 匹配后缀必须加星号和括号分隔
常见错误是写成 location ~ \.env（少 *）或 location ~ \.(env|conf)（漏竖线），导致只匹配字面量 .env 或完全不生效。
-
~*表示大小写不敏感，否则.ENV、.Log仍可访问 - 扩展名之间必须用
|分隔，(conf|log|env)才对；(conflog)是匹配字面字符串conflog - 结尾要加
$锚定，避免误伤正常路径，比如.phpinfo不该被\.php拦住
正确写法示例：
location ~* \.(conf|log|env|bak|swp|yml|yaml|htaccess|gitignore)$ {
deny all;
}
规则必须放在所有功能性 location 之后
Nginx 的匹配优先级是：精确匹配 > ^~ 前缀 > 正则。如果把禁止规则写在 location ~ \.php$ 上面，而 PHP 处理块又没做 try_files 校验，请求 /config.php 就会直接走 PHP fastcgi——deny all 根本不触发。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 把敏感后缀拦截块放在
server块末尾，确保它不被更宽泛的正则覆盖 - 尤其注意不要放在
location /或location ~ \.php$前面 - 如果用了宝塔等面板，检查是否在站点配置里额外加载了
enable-php-*.conf，那些文件里的location也可能覆盖你的规则
PHP 文件不能只靠 deny all 拦截
用户直接请求 /admin/config.php，若 Nginx 没配置 try_files $uri =404，且该文件又不在 PHP 处理路径里，就可能当作静态文件返回源码——这时 deny all 在正则块里根本不会执行。
- 必须加一层高优先级前缀拦截：
location ^~ /.php { return 404; }，防扫描器构造/.phpinfo或/.php?x=1 - 主 PHP 块保持原有
fastcgi_pass，但开头加try_files $uri =404;，确保只有真实存在的 PHP 文件才进 fastcgi - 单独封禁
.php后缀的正则块（如location ~ \.php$ { deny all; }）反而可能干扰正常 PHP 执行，慎用
隐藏文件和目录要显式封禁
location ~* \.(env|log)$ 拦不住 /.git/config 或 /wp-content/.env，因为点号在路径中间，不是后缀。Nginx 默认不拦以 . 开头的路径。
- 加一条：
location ~ /.* { deny all; }拦所有含/.的路径（注意不是^/.*，否则会误杀根路径） - 再补前缀匹配：
location ^~ /.git/ { deny all; }、location ^~ /.svn/ { deny all; } - 如果用了 Composer，还要加
location ^~ /vendor/ { deny all; }，防止泄露依赖结构
真正容易被忽略的是：规则生效后必须 nginx -t && nginx -s reload，且很多线上环境（尤其是容器或宝塔）会自动重载配置但不报错——看似改了，其实旧配置还在跑。建议改完立刻用 curl -I http://yoursite/.env 验证返回是不是 403 或 404。
