Ну, честно, не всегда .phtml так уж просто прокатывает. Там тоже могут быть фильтры и проверки, особенно на более свежих задачах. А в JWT хотя и попарно сложнее, зато иногда именно там можно выловить что-то поинтереснее, чем просто загрузить файл и ждать халяву. Так что не стоит списывать сложные методы со счетов, они тоже работают.