Понял, будем переделывать =)
Тогда к вопросу о безопасности - если некий скрипт на бекенде выдает
X-Accel-Redirect: /
То происходит зацикливание запроса...
Возможно, предусмотреть счетчик запросов или просто разрешить принимать
X-Accel-Redirect редиректы только на location помеченный как internal.
Да, нужно сделать какое-то ограничение.
Игорь Сысоев
http://sysoev.ru