可恶的UTF8 BOM

昨天APP里突然开始涌入大量机器人账号，滥发消息，本来应该负责用户模块的同事加个规则，屏蔽掉或者疯掉这些账号，但该同事周末当然是不上班的，我又没有权限，只好写个脚本检测，然后封号，其中获取用户信息的API返回的json数据，decode显示结果是null，error码是4，语法错误，但是仔细校验json格式，也是正常的，然后打印字节长度，才发现多出来3个字节，原来是可恶的BOM,截掉前面的3个字节后，一切正常。 

$data = substr($data, 3);
$data = json_decode($data,true);

话说，现在这个公司所有API都没有JWT机制的，全部裸跑。。。心是有多大，跟老大提了一次，但是被以安卓客户端无法储存token给敷衍了，，，虽然我不写安卓，但也知道不可能连个token都存不了啊！唉，小小实习生，人言微轻！

下图，空白文件，BOM3字节