Не рассмотрены ситуации с запросами вида
index.php?open=http://anothersite.com/xss.php

Сначала нужно решить разрешать такие ссылки или нет. Если нет, то можно проверять наличие "?" и выводить сообщение об ошибке или еще что-нибудь…

проверка типов заливаемых файлов

На эту тему я собирался написать небольшую статью
В CI есть библиотек upload.
При создании загрузчика можно указать разрешенные типы файлов, ограничения по размеру и т.п.
Например,
$config['allowed_types'] = 'gif|jpg|png';
$this->load->library('upload', $config);
Я пользовался, очень удобно.

использование простых паролей

О "человеческом факторе" я написал (самый конец статьи).

не действие, а процесс

Спорить сложно

а также ничего не сказано, например, про проверку типов заливаемых файлов (я заливаю как аватарку php файл, а потом вызываю что-то вида http://victim.org/project/images/users/112233abcd.php). При неправильной настройке сервера тоже работает Сам сталкивался.

Далее, забыты такие вещи как, например, использование простых паролей для администраторского входа (очень много взломов админки — из-за использований стандартного "admin/admin").

И забыто самое главное.
Защита сайта (и вообще ИБ) — это не действие, а процесс.

С другой стороны,
$this->input->post( ‘username’ );
возвращает FALSE если параметр ‘username’ не установлен, а это удобно.

$this->input->post( 'username', TRUE );