Você não está fornecendo nenhum exemplo de onde está ficando aquém do seu exercício ou qual é o propósito de sua suposição na lista de permissões.
Quantos URLs você tem? Web site estático ou dinâmico? O que você está tentando realizar?
Você pode fazer a lista de permissões facilmente por meio de um conjunto de várias diretivas location
específicas e, em seguida, return 404;
dentro de um gerallocation /
(que corresponderia a todos os outros locais não descritos).