在开发过程中，跨站脚本攻击（XSS）是一种常见的网络安全威胁。它允许攻击者在用户的浏览器中注入恶意脚本，从而窃取用户信息或篡改网页内容。CodeIgniter（CI）是一个流行的PHP框架，提供了许多内置的安全特性来帮助开发者抵御XSS攻击。以下是一些在CI框架下编写XSS攻击防护代码的策略。
1. 使用CI的自动转义功能
CI框架提供了一个内置的转义函数htmlentities()，它可以自动转义输出到浏览器的内容，从而防止XSS攻击。在视图文件中，确保使用echo html_entity_decode($data, ENT_QUOTES, 'UTF-8');来显示用户输入的数据。
echo html_entity_decode($user_input, ENT_QUOTES, 'UTF-8');
2. 设置全局转义
在CI的配置文件application/config/config.php中，你可以设置全局转义：
$config['global_xss_filtering'] = TRUE;
这将确保所有输出到浏览器的内容都会自动转义。
3. 使用CI的输入过滤库
CI提供了输入过滤库，可以帮助你清理用户输入的数据。使用$this->input->sanitize_string()方法来确保用户输入不会引起XSS攻击。
$safe_input = $this->input->sanitize_string($user_input);
4. 验证用户输入
除了转义和过滤，还应该验证用户输入是否符合预期的格式。可以使用CI的验证库来确保数据的有效性。
$rules = array(
'user_input' => 'trim|required|xss_clean'
);
$this->form_validation->set_rules($rules);
5. 避免直接输出用户输入
尽可能避免直接输出用户输入到HTML中。如果需要显示用户输入，确保已经对其进行转义。
6. 使用内容安全策略（CSP）
内容安全策略（CSP）是一种额外的安全层，可以帮助减少XSS攻击的风险。CI没有内置CSP支持，但你可以通过HTTP头信息来实施它。
header("Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;");
7. 使用HTTPOnly和Secure标志
对于包含敏感信息的cookie，使用HTTPOnly和Secure标志可以增强安全性。
setcookie('user_token', $token, time() + 3600, '/', '', TRUE, TRUE);
8. 定期更新CI框架
确保你的CI框架和所有依赖库都是最新的，以利用最新的安全补丁。
9. 监控和测试
定期监控你的应用程序，使用自动化工具进行安全测试，以确保没有新的XSS漏洞被引入。
通过遵循上述策略，你可以在使用CodeIgniter框架时有效地防护XSS攻击。记住，安全是一个持续的过程，需要不断地评估和更新你的安全措施。