Запросы для этих файлов выполняет браузер, а не ваш сервер, поэтому, как вы уже догадались, он просматривает эти каталоги.
Обычно наиболее безопасно при выполнении чего-либо подобного указывать URL-адресаВаши изображения и исходные файлы должны быть связаны с именем домена ("/ images / ..." вместо "images /...").
В качестве альтернативы, вы можете написать больше правил перезаписи, которые перенаправляют что угоднос ... / images / ... в нем, чтобы указать на каталог с изображениями, но при этом вы потеряете кеширование и ряд других полезных вещей.
Как примечание, обычно это дажеЛучше не кодировать каталог изображений напрямую, а иметь какой-либо файл конфигурации со значением, подобным $ IMAGE_DIR, и тогда, если вы когда-нибудь что-то измените, вам нужно будет обновить его только в одном месте.