Да, nginx нормализует URI (но не аргументы) следущим образом:
*) несколько / превращается в один /
*) /./ превращается в /
*) /../ убирает предыдущий каталог, если убирать нечего, возвращается 400
*) под win32 /.../ убирает два каталога
*) под win32 \ превращается в /
*) %XX преобразуется в символ. Преобразование однократное, то есть, "%2530"
преобразуется в "%30", а не в "0"
Возможно, имеет смысл сделать директиву для запрета первого преобразования.
На безопасности это сказаться не должно. Но работать она может только на
уровне http.
Точно стоит сделать. У меня тоже из-за этого проблема. Я бы даже сделал
это преобразование выключенным по-умолчанию для проксируемых запросов.