@Techno Pars :
به نكته خيلي خوبي اشاره كرديد.
حتما توجه كنيد در هر سيستمي اگر پسوند فايل قالب tpl يا html يا مشابه هست حتما دسترسي مسقيم رو به روش گفته شده ببنديد.
نه تنها در مورد قالب ، كه بعضي از برنامه نويسها عادت دارند فايل هاي php رو كه قرار include بشه با پسوند inc ميذارند و براحتي ميشه سورس رو ديد. (مگر اينكه با روشي مثل htaccess جلوي مشاهده رو گرفت).