Você não está fornecendo nenhum exemplo de onde está ficando aquém do seu exercício ou qual é o propósito de sua suposição na lista de permissões.
Quantos URLs você tem? Web site estático ou dinâmico? O que você está tentando realizar?
Você pode fazer a lista de permissões facilmente por meio de um conjunto de várias diretivas location específicas e, em seguida, return 404; dentro de um gerallocation / (que corresponderia a todos os outros locais não descritos).