首先我忘了回复楼主。
1. 如果 php 文件和 index.html 同目录，但是 nginx 配置文件配置了请求 php 路径的 location ，不会暴露密码。
2. 如果 test.php 不渲染任何东西，但是 nginx 通过 fastcgi 访问 fpm ，fpm 运行 test.php 后实际上会返回 http 200 OK ，nginx 会把这个返回给浏览器，所以浏览器显示空白是正常情况，但是你如果观察 header ，是有对应的 header 头的。显示空白只是 http 的 content 是空的而已。
3. 如果满足 1 的配置要求，fpm 挂了，nginx 一般是抛出 502 错误页。
4. 只有没有按 1 的要求配置，才会返回 php 代码文件。
@
void1900 @
hxy100 我不是想打谁的脸，我回复的目的主要是为 25 楼这样的小兄弟解答，以及其他看到这个帖子的新人。
我看各位的注册年限都好几年，工作经验起码 3-5 年以上了，也正是因为这个原因，你们对技术比较专业的讨论，如果没有正确的回复，会非常误导人。
下面的回复不是针对谁，我就是给其他刚入行的小兄弟看的。
问：后缀是不是 MIME media type ？
答：不是。
原因：
1. 从理论角度来分析，MIME 是有 RFC 的，但是 RFC 中并没有任何有关后缀和 media type 的关系定义。
image/png 中，image 是 type ，png 是 subtype ，中间用 /分开，为一个 MIME media type 。而.png 没有任何定义。
https://en.wikipedia.org/wiki/MIME2. MIME media type 的列表是 IANA 定制的，而且大部分也说明了 MIME media type 对应的文件后缀，下面以 text/html 为例，见“File extension”部分。
https://www.iana.org/assignments/media-types/text/html那么从以上两点可以知道 MIME 是 MIME ，文件后缀是文件后缀。
说到这里我想扩展一下。
1. 一个软件(nginx, file)识别一个文件的 MIME 有 2 中方法。
a. 像 nginx 一样提供一个 mime.types 这样的有 mime 和文件后缀对应的列表。
b. 像 linux 命令 file 一样分析文件内容。
按 a 的话效率很高，毕竟分析文件内容会导致 nginx 消耗额外资源，而且只要配置列表齐全，就不会出现不识别问题。
而 file 是按 b ，所以 file 判断一个文件 test.php 文件的时候，把文件名改成 test ，也就是删掉.php ，也可以识别正确。原理是看文件是不是"<?php"开头。
$ cat test.php
<?php
t$ file --mime test.php
test.php: text/x-php; charset=us-ascii
$ mv test.php test
$ file --mime test
test: text/x-php; charset=us-ascii
但是这个是有缺陷的， 因为 php 可以 html 和 php 代码混合。
$ cat test
<!DOCTYPE html>
<html>
<body>
<?php
echo "I'm liuxu.\n";
?>
</html>
$ php test
<!DOCTYPE html>
<html>
<body>
I'm liuxu.
</html>
$ file --mime test
test: text/html; charset=us-ascii
可以看到明明是 php 文件，但是 file 却说文件是 text/html ，因为 file 读取文件开头是"<!DOCTYPE html>"，所以判断这个文件是 html 文件。
同时也可以看见即使没有.php 后缀，文件也可以识别执行。原因是 php 读取文件就是单纯的 fopen()。
问：那么我用 php 执行一个单纯的 html 会怎样，甚至是一个 txt 会怎样。
答：会原样输出文件内容。
$ cat test.html
<!DOCTYPE html>
<html>
<body>
</html>
$ php test.html
<!DOCTYPE html>
<html>
<body>
</html>
2. nginx+php-fpm 的原理，我就以 nginx 官方配置说明为例。
server {
location / {
fastcgi_pass localhost:9000;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_param QUERY_STRING $query_string;
}
location ~ \.(gif|jpg|png)$ {
root /data/images;
}
}
首先这个配置没有匹配.php 后缀，而是匹配所有请求。如果请求时.gif .jpg .png 结尾，则会去 /data/images/加上请求路径拼接查找对应文件，也就是请求 /test/a.jpg ，会查找 /data/images/test/a.jpg 。然后如果找到了文件，会根据后缀.jpg 在 mime.types 查找到 mime 设置到 Content-Type ，然后返回。
但是如果不是上面的请求后缀，则转发到后端 php-fpm 。转发整个过程是：
a. 匹配请求路径，如 /test1.html ，/test2.php 。
b. 设置 fastcgi_param SCRIPT_FILENAME ，设置的值为 root 目录加请求路径，也就是 root 是 /data/project/，请求是 /test2.php 的话，SCRIPT_FILENAME 为 /data/project/test2.php 。然后把这个路径发送给 php-fpm 。php-fpm 使用 fopen()打开这个文件，由于是绝对路径，所以 php-fpm 不会读取到错误的工作目录。然后 php 执行 test.php ，得到输出返回给 nginx ，包含 header ，最后 nginx 做一些其他操作后将 php-fpm 的返回值返回给浏览器。
所以从 b 的的解析来看，即使你请求"/test3"，也就是没有后缀，那么假如 /data/project/test3 问一个 php 内容的文件，php-fpm 一样会执行返回。
3. 然后我普及下十几年前 asp/php 当道的年代，一个人尽皆知的 webshell 攻击手法，也是和 mime 有关。
a. 首先网站有个上传图片功能，php 验证文件的方式是读取文件的 mime ，也就是看是不是 image/jpeg 或者 image/png 。
b. 攻击者上传 muma.php ，由于这个会上传时 Content-type 不是 image/jpeg ，所以使用工具劫持请求，然后更改上传文件的 Content-type 为 image/jpeg 后发送请求。然后 php 会验证通过，将文件存放到磁盘上。最后攻击者访问这个文件的链接就拿到了 webshell ，所以现在 php 验证一般是验证文件后缀。这也是说明 mime 和文件后缀虽然有联系，但是要区分对待。
4. 最后我想说一下 php 的 mime 问题，有点意思。从我查询有限的信息来看，php 是有 mime 的，但是还没有被 IANA 收录。
首先 IANA 定义的 MIME media type 叫官方 MIME ，然后还有一些 subtype 为 x-开头的，叫非官方定义，为的是以后官方定义避免名字冲突所以加上了 x-。
现在就有一个有趣的事情，我看前面有人说 apache 中 php 的 mime 要设置成 application/x-httpd-php ，实际上 linux 都有一个文件，叫 /etc/mime.types ，里面有 IANA 定义的 MIME 列表，但是 php 相关是注释掉的。
$ cat /etc/mime.types | grep php
#application/x-httpd-php phtml pht php
#application/x-httpd-php-source phps
#application/x-httpd-php3 php3
#application/x-httpd-php3-preprocessed php3p
#application/x-httpd-php4 php4
#application/x-httpd-php5 php5
然后用 file 看 php 文件的 mime 是 text/x-php 。
$ file -i test.php
test.php: text/x-php; charset=us-ascii
这个其实很有趣，原因是命名规范问题。
首先有官方定义 application/javascript 和 text/html ，原因是 js 是程序代码，html 是 html 文本。但是 php 很特殊，因为 php 可以是单纯的<?php 开头的 php 文件，也可以是 html+php 混合文件。如果是混合文件，那么开头就是<!DOCTYPE html>或者<html>，这样读取分析文件会是 text/html ，明显是错的。然后有人说 application/x-httpd-php 这个是有问题的，因为 php 和 html 一样是可读文本，所以 type 应该是 text ，mime 应该是 text/x-php 。所以 IANA 应该是考虑到这个问题，就把 php 相关的 mime 去掉的。但是 apahce 现在还在用，linux 命令 file 或者 php 自己的方法 mime_content_type()返回 php 文件的 mime 都是 text/x-php 。