nginx + php-fpm/hhvm определенное требование openbase_dir

У меня есть такая структура:

  user1 - site - public - functions.php
  user1 - site - public - functions.php
  appuser - app - index.php

nginx устанавливает php для appuser - app - index.php, который включает в себя app, а затем отдельные functions.php для пользователей

пользователи имеют доступ по FTP к своим публичным каталогам

Как я могу ограничить, что пользователь не может включать или изменять что-либо в своей общедоступной директории, но app/index.php может делать что угодно