фильтрация XSS в codeigniter не предотвращает инъекции SQL?

Прежде всего, обе темы не являются специфическими для CodeIgniter.
Но у CodeIgniter есть особый способ справиться с этим. Пожалуйста, прочитайте https://ellislab.com/codeigniter/user-guide/general/security.html

Помните, что CodeIgniter не спасет вас от любого из них, и вы должны понимать, как работают обе эти атаки.

Важно понимать, что это две разные атаки, так как при любой атаке они могут быть связаны друг с другом. Например, используя XSS / CSRF для выполнения SQL-инъекции через. созданная ссылка на администратора или т. д.

XSS — это когда злоумышленник может внедрить код, выполняемый на стороне клиента. Например, размещение <script> тег в вашем коде. Это часто происходит, если вы выводите данные, которые предоставил пользователь, без их очистки или проверки. Как правило, это может быть имя пользователя, заголовок сообщения, данные $ _GET и т. Д. Существует множество способов выполнения сценария на стороне клиента, кроме тега сценария, поэтому обязательно ознакомьтесь с этой темой.
Чтобы избежать этого, всегда избегайте вводимых пользователем данных из любого источника.
Вы можете прочитать больше об этом https://www.owasp.org/index.php/Cross-site_Scripting_%28XSS%29

SQL-инъекция — это когда злоумышленник может изменить SQL-запрос в злонамеренных целях. Самый распространенный способ избежать внедрения — избегать каждого ввода, прежде чем передавать его в запрос. Использование подготовленного заявления также очень помогает. В CodeIgniter вы часто используете «db ActiveRecord», что позволяет вам избежать ввода.
Вы можете прочитать больше об этом, включая примеры https://www.owasp.org/index.php/SQL_Injection

Вы также должны прочитать https://www.owasp.org/index.php/Top_10_2013-Top_10 и познакомиться с наиболее распространенными атаками.