ich schau mir normal nur template APIs an, daher weis ich nicht, ob ich Sicherheitslücken erkennen würde, wenn ich sie sehe. Könnte es mir aber ansehen.

Mit templates hat der Code wenig zu tun - aber auch mit dem PHP, das sonst oft sehe, nicht viel: Die HTML-Ausgaben (dort wo es sie gibt und nicht JSON ausgegeben wird), werden als DOM-Dokument aufgebaut und dann am Ende erst auf HTML umgwandelt und ausgegeben. :)

hab ich mir schon so gedacht...