1、查看路径的定义，没有看出有什么漏洞的样子。那是为什么呢？
2、官方社区给的回答，很满意。如下
3、我的理解：
应用目录（app目录）是不建议放web访问目录（可以通过浏览器直接访问的）下的，所以资源文件尽量放在最外面的Public目录下。
如果有人觉得我们不是最后不是访问了模版文件么，但是我们通过index.php这一个单一入口访问的，别忘了这点。
这也让我想起来了为什么YII框架里面项目目录交protected的原因了。
虽然不是代码上的事，但是对自己整个项目的安全管理机制有了学习了。
希望对你也有帮助！
