BOM头导致JSON解析失败_接口返回数据异常
BOM头虽然只有三个字节，但在Web开发中造成的问题非常多，而且因为不可见很难排查。PHP中最典型的报错是「Warning: session_start(): Cannot send session cookie - headers already sent」，报错信息中会指出输出开始的文件和行号，如果行号是1，基本就是BOM头导致的。验证码不显示是因为图片输出前BOM头已经输出，导致图片数据损坏。JSON接口返回的数据开头有三个不可见字符，前端JSON.parse()会失败。本文把这些典型问题的排查和解决方法整理出来，遇到类似问题可以快速定位到BOM头。
Linux命令批量去除BOM头（适合有SSH权限的用户）。方法一：find命令配合sed，扫描当前目录及子目录下所有PHP文件，去除开头三个字节：find . -type f -name "*.php" -exec sed -i '1s/^xefxbbxbf//' {} ;。把*.php改为*.html、*.css、*.js等处理其他类型。方法二：用find配合vim：find . -type f ( -name "*.php" -o -name "*.html" -o -name "*.js" -o -name "*.css" ) -exec vim -c "set nobomb" -c "wq" {} ;。方法三：用dos2unix工具（部分系统自带）：dos2unix *.php。dos2unix会同时转换换行符和去除BOM。执行前先备份文件，批量操作有风险。
PHP脚本批量去除网站BOM头（适合虚拟主机用户）。把以下脚本保存为remove_bom.php，上传到网站根目录，浏览器访问http://域名/remove_bom.php，脚本会自动扫描当前目录及子目录下的所有PHP、HTML、CSS、JS、TXT文件，去除BOM头并显示处理结果。代码：<?php header('Content-Type: text/html; charset=utf-8'); $dir = __DIR__; $iterator = new RecursiveIteratorIterator(new RecursiveDirectoryIterator($dir)); $count = 0; foreach ($iterator as $file) { if ($file->isFile() && in_array(strtolower($file->getExtension()), ['php','html','htm','css','js','txt','xml','json'])) { $f = fopen($file->getPathname(), 'r'); $bom = fread($f, 3); fclose($f); if ($bom == pack('CCC', 0xEF, 0xBB, 0xBF)) { $content = file_get_contents($file->getPathname()); $content = substr($content, 3); file_put_contents($file->getPathname(), $content); echo '已去除BOM: ' . $file->getPathname() . '
'; $count++; } } } echo '
处理完成，共去除 ' . $count . ' 个文件的BOM头。'; ?>。使用后务必删除此脚本，避免被他人访问。
PowerShell批量去除BOM头（Windows环境）。代码：$path = "." $files = Get-ChildItem -Path $path -Recurse -Include *.php,*.html,*.css,*.js,*.txt $count = 0 foreach ($file in $files) { $bytes = [System.IO.File]::ReadAllBytes($file.FullName) if ($bytes.Length -ge 3 -and $bytes[0] -eq 0xEF -and $bytes[1] -eq 0xBB -and $bytes[2] -eq 0xBF) { $newBytes = $bytes[3..($bytes.Length-1)] [System.IO.File]::WriteAllBytes($file.FullName, $newBytes) Write-Host "已去除: $($file.FullName)" $count++ } } Write-Host "完成，共处理$count个文件"。保存为remove_bom.ps1，右键「使用PowerShell运行」，或在PowerShell中执行。如果提示执行策略限制，先运行Set-ExecutionPolicy RemoteSigned。
BOM头导致session_start()失败的完整排查。报错「Warning: session_start(): Cannot send session cookie - headers already sent by (output started at /path/config.php:1)」，行号是1，说明config.php文件开头有输出。用编辑器打开config.php，查看编码是否是UTF-8-BOM，如果是，转为UTF-8无BOM保存。同时检查config.php被哪些文件include，那些文件也不能有BOM头。如果多个文件都有BOM头，用批量脚本一次性处理。处理后清除浏览器缓存和服务器缓存（如果有OPcache），重新测试。如果session仍然失败，检查php.ini中output_buffering是否开启，开启输出缓冲可以缓冲BOM头，但建议去除BOM头而不是依赖缓冲。
网站迁移后BOM头问题的处理。从Windows服务器迁移到Linux服务器，或从本地上传到虚拟主机，文件编码可能不一致，部分文件带BOM头。迁移后如果出现页面顶部空白、验证码不显示、登录异常，先检查文件编码。用批量PHP脚本扫描整个网站目录去除BOM头，然后清除缓存测试。迁移时建议用FTP的二进制模式传输文件，避免传输过程中编码被转换。Git/SVN版本控制的项目，在仓库中统一编码为UTF-8无BOM，检出时不会有BOM头问题。迁移后不仅检查PHP文件，还要检查HTML模板、CSS、JS、配置文件（.ini、.conf、.env），任何文本文件都可能带BOM头。
BOM头的原理。UTF-8编码的BOM头是三个字节：EF BB BF，位于文件最开头。UTF-16和UTF-32编码的BOM头是FE FF或FF FE，用于标识字节顺序（大端或小端）。UTF-8编码本身不需要BOM头来标识字节顺序（因为UTF-8的字节顺序是固定的），BOM头在UTF-8中仅用于标识这是一个UTF-8文件。很多Windows编辑器（如旧版记事本）在保存UTF-8时自动添加BOM头，因为Windows系统通过BOM头区分UTF-8和系统默认编码（如GBK）。但在Linux和Web开发中，UTF-8文件不应该带BOM头。
BOM头导致的其他问题。CSS文件有BOM头时，部分浏览器会忽略CSS的第一行规则（因为BOM头在@charset或第一条规则之前），导致第一条样式失效。JS文件有BOM头时，某些旧浏览器会解析报错，因为BOM头在JS代码之前被当作非法字符。JSON接口返回的数据有BOM头时，前端的JSON.parse()会抛出「Unexpected token」错误，因为JSON数据开头多了三个字节。XML文件有BOM头时，XML解析器可能报错「XML declaration not at start of document」，因为XML声明<?xml之前有BOM头。下载文件的PHP脚本有BOM头时，下载的文件开头多了三个字节，导致文件损坏（如ZIP无法解压、图片无法打开）。
BOM头导致验证码不显示的原理。验证码图片通过PHP的GD库生成，用header('Content-Type: image/png')设置内容类型，然后输出图片二进制数据。如果PHP文件有BOM头，BOM头会在图片数据之前输出，导致浏览器接收到的数据是「BOM头 + 图片数据」，不是合法的PNG格式，浏览器无法解析，显示为叉号或空白。解决方法是去除生成验证码的PHP文件（以及include的所有文件）的BOM头。注意不仅验证码文件本身不能有BOM头，它include/require的所有文件（如数据库配置文件、函数库文件）也不能有BOM头，任何一个文件有BOM头都会导致输出异常。
检测文件是否有BOM头的方法。方法一：用十六进制编辑器打开文件，查看开头三个字节是否是EF BB BF。Notepad++的「插件」-「HEX-Editor」-「View in HEX」可以查看十六进制。方法二：用PHP脚本检测，代码：<?php $file = 'test.php'; $f = fopen($file, 'r'); $bom = fread($f, 3); fclose($f); if ($bom == pack('CCC', 0xEF, 0xBB, 0xBF)) { echo '有BOM头'; } else { echo '无BOM头'; }。方法三：Linux命令检测：head -c 3 file.php | xxd，输出开头是efbbbf说明有BOM头。方法四：用编辑器查看编码，Notepad++底部状态栏显示「UTF-8-BOM」说明有BOM头，显示「UTF-8」说明无BOM头。
VSCode去除BOM头。打开文件后，点击右下角状态栏的编码显示（如「UTF-8 with BOM」），在弹出菜单中选择「Save with Encoding」（通过编码保存），然后选择「UTF-8」（不带BOM的选项），保存后BOM头去除。设置默认保存为无BOM：点击「文件」-「首选项」-「设置」，搜索「files.encoding」，设置为utf8；搜索「files.showByteOrderMark」，设置为false（不显示BOM标记，即默认不添加BOM）。VSCode默认新建UTF-8文件是不带BOM的，但打开带BOM的文件保存时会保留BOM，需要手动转为无BOM。
运维评价：「BOM头是PHP开发中的经典坑，不可见但影响大，页面空白、验证码不显示、session失效、JSON解析失败都可能是它导致的。批量去除脚本是必备工具，每次部署前跑一遍」「编码统一是根本，整个项目从文件到数据库到页面声明全部UTF-8无BOM，BOM头和乱码问题都不会有。新团队建立时就要把编码规范定好」。
安全提醒：批量去除BOM头的PHP脚本上传到网站后，使用完立即删除，不要留在服务器上被他人访问。不要用不明来源的第三方工具处理网站文件，可能植入恶意代码。编辑器从官方渠道下载，避免被篡改。文件编码转换不会改变文件内容（除了删除BOM头三个字节），但操作前备份是好习惯。如果转换后文件内容异常，用备份恢复。
更新时间：2026-08-27 13:02:16
上一篇：虚拟主机awstats 统计不准_面板流量与JS统计差异
下一篇：景安虚拟主机旧域名 301 到新域名返回301_Apache .htaccess与IIS web.config对照