так в том то и дело, что сам факт наличия этой конструкции сводит на нет аргумент в пользу "безопасности"

Вобщем то очень просто... Если смотрел код, могу продемонстрировать. Поменяй этот акшен:

    public static function actionCompliments()
    {
        $login = htmlspecialchars(@$_SESSION['login']);
        $blocks['compliments'] = '';
        
        for($i = 1; $i < 5; ++$i)
        {
            $data  = array('login' => $login .$i);
            $blocks['compliments'] .= self::$tpl->getTplBlock('enter_form')->parseTplBlock($data); 
        } 
        
        self::_render($blocks);
    } 

и запусти. Примерно по той же схеме и ветвления. Да что угодно можно напихать.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Ну я же говорю - не зря её сделали опцией.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Да именно. Я и не собираюсь никого заставлять ничего внедрять. Мне просто интересно, почему столь очевидный метод никем из разработчиков шаблонизаторов не используется. Пока только один ответ - стереотипы. Так привычнее, вот и всё.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Очень много чего остается. А по повод не использовать AR или хелперы, то можно и не использовать, но зачем использовать лом если есть отбойный молоток?

twin

Ничего подобного. Если в каком-то экшене контролера не нужен доступ к БД, то не используй.

Так а что мешает использовать именно htmlspecialchars там где больше никаких методов из этого класса не используется?



_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

Ох, если б все было так просто. Сперва конечно нужно просто чего-то вывести в цикле, а потом пошло поехало: обработать переменные перед выводом, посчитать арифметические выражения, отформатировать дату, найти вхождение подстроки и т.д., примеров можно придумать очень много. И вот тут большинство шаблонизаторов обделываются. И приходится программисту или допиливать функционал шаблонизатора, вводя новые конструкции, которые и без того запутывают новый для всех синтаксис шаблонов или дополнительно подготавливать массивы данных в моделях/контролерах, т.е. повторно прогонять циклы, там где можно было обойтись одним походом.

_____________
Senior PHP developer: PHP5, MySQL, JavaScript, CakePHP, Yii/Yii2, Zend Framework, Smarty, XML/Xslt, JQuery, Jquery Mobile, Bootstrap, ExtJS, HTML, HTML5, CSS, Linux, SVN, Git, Memcached, Redis, MongoDB, Zend Guard, Ioncube, FFMpeg, PayPal, Webmoney, Qiwi, Facebook API, Vkontakte Api, Google API, Twitter Api, Steam Api.
Junior Android Developer: Android SDK, многопоточность, работа с HTTP запросами, JSON, SQLite, фрагменты.

Да... А я всегда думал, что этим занимаются фронт-энд программисты.

В очередной раз повторюсь. Натягивать не должны, тут я полностью солидарен. А вот правки в верстку вносить должны. И именно они. А получается, что они дергают программистов.

Не всегда. Даже прежде чем в смарти передать данные, их обычно подготавливают. А часть логики все же тащат в шаблон. Причем извращая до неузнаваемости.

Ну и

{% for key, item in items %}
 {{key}} - {{value.property}}

{% else %}

Записей не найдено
{% end %}

сравним с этим

<!--// message -->
 {{key}} - {{value}}
<!--// message end -->

<!--// no_message
Записей не найдено
<!--// no_message end -->

Ну объективно, что прозрачнее? И ремонтопригоднее?

А компилляция - отдельная тема. Я тут про разбор говорю, про принцип, а не сравниваю свою поделку за два часа на коленке писанную со смарти. :)

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Об увлекательном мире командной разработки. Вернее даже не столь о разработке, сколь о поддержке проекта. Для фрилансеров-одиночек, которые и швец и жнец и на дуде могет, конечно это не интересно.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

А откуда, позволь спросить, появилась user? Она же должна откуда то появиться. А значит нужно все равно лезть в класс или звать программиста.

Я уже говорил - этого не избежать, если требуется изменение логики.. Но элементарную верстку по моей схеме править в сто раз удобнее. Ничего не нужно верстальщику, кроме редактора и браузера. Ни программист, ни даже сервер.

_____________
Если вам недостаточно собственных заблуждений, можно расширить их мнениями экспертов.

Нужно уважать мнение оппонета. Ведь заблуждаться - его святое право.

Настаивал, настаиваю и буду настаивать на своем. На кедровых орешках.

Так данные то в любом случае должны поступать из "движка". Переменная, константа, функция, ещё что-то.

По твоей схеме проще, когда сверстано. А вот верстать не просто. Постоянно лезть в шаблонизатор и писать очередную конструкцию, чтобы вывести дату в другом формате.

Завтра заказчику или начальству взбредет цикл изменить, сделать его задом наперед, так лезть в шаблонизатор.