最近准备接手改进一个别人用Codeigniter写的项目，虽然之前也有用过CI，但是是完全按着自己的意思写的，没按CI的一些套路。用在公众的项目，最好还是按框架规范来，所以还是总结一下，免得以后别人再接手的时候贻笑大方。
1. 首先是 MVC
如果你还不知道 MVC ，应该尽快的学习，你会很快的体会到在 Model 中数据访问，在 Controller 中进行业务逻辑，在 Views 中编写 HTML 代码的价值。如果你之前没有使用过这种模式写过程序，你也许会皱起额头，不过你应该给自己尝试这样做的机会。
一条实践准则是把更少的东西放进 Controller ，记住 DRY 准则：不要重复造轮子。当在超过一个地方编写相同的代码时，应该根据它的类型来尝试编写一个 library， helper，或 model。比如数据库连接类，用得很频繁，就把它做成 model（系统已提供）。
一旦领悟了 MVC 的精髓，这将会成为一种习惯，你会从 MVC 简洁的代码中受益良多。
一个原则就是：复杂的操作都交给Model。Controller更像个建筑师。 Model是苦工。 View 是粉刷工。Controller 只需要把东西丢进Model里就可以了，不需要在意数据是否异常，然后返回一个标志位以及相应的数据。这样MVC 的 架构就体现出来了。
Model其实就像一个电器如：微波炉一样，使用方法越简单越让人喜欢，(把食物放进去 －按启动 －ok，饭熟了。)接口少的好处是，Model升级代码优化的时候，对外界的耦合度不高。即使你内部写得很烂，接口也很干净，用起来也简单。
2. Application 和 System 路径
最好是把 system 和 application 文件夹放在 webroot 以外的地方，如果 index.php 放在 FTP 服务器的 /public_html/ 路径下，应该尝试把 System 放在根目录下 /system ，这样的话，只能通过 index.php 访问你的PHP文件。
不要忘记在index.php文件中修改 $system_folder 和 $application_folder 的值，$system_folder 的值应该是相对于 index.php 文件，而 $application_folder 的值是相对于 system 目录。
3. 错误报告和调试
常常犯的一个错误是忘记关闭 PHP 错误和数据库错误报告，这样做是有风险的。在任何一个公开的站点，error_reporting 应该设置为0 ，最多只能设置为 E_ERROR，数据库设置 db_debug 应该设置为 false，基于其他安全考虑，设置不显示出错信息 ini_set('display_errors', 'Off');
在你编码和调试时，应该把 error_reporting 设置为 E_ALL ，并且在把应用程序发布前解决每一个注意和警告。
一种简易的方法是在 application/config/database.php 文件设置 db_debug 的值为一个常量 MP_DB_DEBUG，当网站在运行中，如下设置：
复制代码 代码如下:
ini_set('display_errors', 'Off');
error_reporting(0);
define('MP_DB_DEBUG', false);
在编码和调试中设置为：
复制代码 代码如下:
ini_set('display_errors', 'On');
error_reporting(E_ALL);
define('MP_DB_DEBUG', true);
4. 安全问题很重要
在接收任何数据到你的程序之前，不管是表单提交的 POST 数据、COOKIE 数据、URI 数据、XML-RPC 数据、还是 SERVER 数组中的数据，我们都推荐你实践下面的三个步骤：
过滤不良数据.
验证数据以确保符合正确的类型, 长度, 大小等. (有时这一步骤也可取代第一步骤)
在提交数据到你的数据库之前将其转换.
关于SQL注入，XSS，以及 CSRF ，你应该先了解它们，再决定是否采用方法来防止它们。可以参考CI手册上的安全指南 以及 输入和安全类。也许最重要的原则是在把数据提交到数据库或文件系统之前检查所有用户的输入。
SQL注入。使用 CI 自带的 Active Record 可以解决这个问题。
XSS (跨站脚本)。通过设置 $config['global_xss_filtering'] = TRUE; 开启自动过滤POST和COOKIE中的跨站脚本攻击，但需要消耗一些资源。也可以在每次处理POST和COOKIE的时候单独使用，把第二个参数设为TRUE，如 $this->input->post('some_data', TRUE); 表单验证类也提供了 XSS 过滤选项，如 $this->form_validation->set_rules('username', 'Username', 'trim|required|xss_clean');
CSRF (跨站请求伪造)。CI 2.0 将内置 CSRF 检查，在 Google 上搜索 "CSRF tokens" 学习更多关于在保护表单提交和 URL 链接的知识，在 Ajax 应用方面可以搜索 "double cookie submission" 或 "双提交 cookie"。
SPAM (垃圾留言和恶意注册)。通过保护你的邮件表单，评论表单，以及其他各种免费用户提交的数据来防止垃圾信息，一个简单的方法是只允许一个IP/User客户端在一分钟之内只能提交一次，一个比较好的方式是使用 Captcha ，CI2中内置了一个CAPTCHA的辅助函数。
5. 数据库 和 ORM