UTF-8 用一到四字节编码 Unicode 标量值。ASCII 字符保持熟悉的单字节表示，许多其他字符则需要更长序列。它适合文本交换，却不会让任意字节自动成为有效文本，也不会让每个字节偏移都成为字符边界。正确处理需要编码约定、符合契约的有效性检查，以及对原始字节和已经解码文本的明确区分。

坏掉的样子

文件或网络读取可以停在多字节序列中间。每块独立解码，会拒绝原本完整且有效的整个字节流；如果每块都立即替换错误，还可能破坏本应与下一块组成字符的字节。流式解码器需要保留未完成输入，等后续数据到来再处理，并在流结束时检查是否仍有残缺序列。分块边界是传输细节，不是文本天然边界。

UTF-8 的起始与续字节具有可识别模式，但这不使任意切片安全。直接截断编码后的字节串，可能把一个序列切成两半。使用另一种编码成功解码，也不能证明解释正确。Latin-1 能映射每个字节，因此把 UTF-8 误解为 Latin-1，仍会得到合法 Unicode 字符串，却可能已经成为乱码。有效字符串和正确文本不是同一结论。

编码有效性还不同于文本等价与显示宽度。一个看起来带重音的字母，可以由单个码点表示，也可以由基础字母和组合标记表示。规范化能够让选定形式便于比较，但 UTF-8 解码不会自动完成规范化。同样，字节顺序标记可能成为字符串开头的实际字符，除非选定编解码器明确消费它。不能把这些处理都笼统称为“转换编码”。

快速验证

将脚本保存为 check-utf8.py，准备 Docker 后执行 python3 check-utf8.py。固定 Python 3.11.16 容器在无网络环境下运行标准库编码与 Unicode 操作，输入都是内存中明确给出的字节和字符串。实验不迁移数据库，也不转换现有文件；断言依赖字节和码点，不要求终端能够正确绘制某个表情图形：

import json,subprocess,uuid
image="python@sha256:528257d48c1da0dcecc2e725d1ae34498d60c965f1241e39cd6a85a8859bdf84"
program=r"""
import codecs,json,unicodedata

text='A中🙂';encoded=text.encode('utf-8');assert len(text)==3 and len(encoded)==8
assert encoded.hex()=='41e4b8adf09f9982' and encoded.decode('utf-8')==text
pieces=[encoded[:2],encoded[2:5],encoded[5:]]
split_errors=0
for piece in pieces:
    try:piece.decode('utf-8')
    except UnicodeDecodeError:split_errors+=1
assert split_errors==3
decoder=codecs.getincrementaldecoder('utf-8')(errors='strict');decoded=[]
for piece in pieces:decoded.append(decoder.decode(piece,final=False))
decoded.append(decoder.decode(b'',final=True));assert ''.join(decoded)==text
rejected={}
for label,raw in {'overlong':bytes.fromhex('c0af'),'surrogate':bytes.fromhex('eda080'),
    'too_large':bytes.fromhex('f4908080'),'truncated':bytes.fromhex('e4b8')}.items():
    try:raw.decode('utf-8');raise AssertionError('invalid UTF-8 accepted')
    except UnicodeDecodeError as error:rejected[label]=error.reason
bad_tail=codecs.getincrementaldecoder('utf-8')();assert bad_tail.decode(bytes.fromhex('e4b8'),final=False)==''
try:bad_tail.decode(b'',final=True);raise AssertionError('incomplete final sequence accepted')
except UnicodeDecodeError:final_rejected=True
mojibake=encoded.decode('latin-1');assert mojibake!=text and mojibake.encode('latin-1')==encoded
decomposed='e\u0301';composed='é';assert decomposed!=composed and unicodedata.normalize('NFC',decomposed)==composed
bom=b'\xef\xbb\xbf'+encoded;assert bom.decode('utf-8').startswith('\ufeff') and bom.decode('utf-8-sig')==text
replacement=bytes.fromhex('ff41').decode('utf-8',errors='replace');assert replacement=='\ufffdA'
print(json.dumps({'text':text,'code_points':len(text),'bytes':len(encoded),'hex':encoded.hex(),
    'chunk_hex':[x.hex() for x in pieces],'independent_chunk_failures':split_errors,'incremental_output':decoded,
    'invalid_rejections':rejected,'final_incomplete_rejected':final_rejected,'latin1_code_points':[hex(ord(c)) for c in mojibake],
    'normalization_lengths':[len(decomposed),len(composed)],'bom_utf8_first':hex(ord(bom.decode('utf-8')[0])),
    'utf8_sig_strips_bom':bom.decode('utf-8-sig')==text,'replacement':replacement},ensure_ascii=False))
"""
name='xbcatm-socket-'+uuid.uuid4().hex[:10]
try:
    result=subprocess.run(['docker','run','--rm','-i','--name',name,'--network','none',
        '--memory','128m','--pids-limit','64',image,'python3','-'],input=program,
        capture_output=True,text=True,timeout=60)
    assert result.returncode==0,result.stderr
    print(json.dumps(json.loads(result.stdout),ensure_ascii=False,sort_keys=True))
finally:
    subprocess.run(['docker','rm','-f',name],capture_output=True,text=True,timeout=10)

字符串 A中🙂 在 Python 中具有三个对应码点的元素，编码后为八字节，十六进制是 41e4b8adf09f9982。ASCII 占一字节，汉字占三字节，表情占四字节；重新解码返回原文。编码字节数和这些码点数量回答不同问题，也都不能自动等同于屏幕列宽。限制字段长度前，必须先明确限制使用哪种单位。

程序把字节拆为 41e4、b8adf0、9f9982，每块当作完整 UTF-8 独立解码都会失败。增量解码器却依次输出 A、中、🙂，在调用之间保留部分序列，最后以 final=True 的空输入完成验证。另一个只持有 e4b8 的解码器，在结束时拒绝残缺序列，没有悄悄丢掉最后一段内容。

四个负向案例分别拒绝过长编码、代理码点、超出 Unicode 上限的值和不完整序列。即使部分字节看起来符合续字节模式，这些形式仍不属于有效 UTF-8。程序明确捕获 UnicodeDecodeError，不把无关异常当成校验成功，也没有使用允许代理码点的宽松模式。验证对象是标准编码规则，而不只是某个函数是否发生错误。

把有效 UTF-8 字节按 Latin-1 解码会成功，却产生不同码点。这个受控案例中，再按 Latin-1 编码错误字符串，可以恢复原字节，但它不是通用乱码修复算法。此前若经过替换、规范化或有损转换，信息可能已经消失。诊断编码不一致时，应先保留原始字节，再决定是否有证据支持某个逆向转换。

脚本还比较分解形式的字母与组合重音，以及组合形式 é。两者初始不相等，长度分别为二和一，NFC 规范化后相等。另外，普通 UTF-8 解码保留开头 BOM 为 U+FEFF，utf-8-sig 则消费它。这是两种独立转换，不能仅因文本看起来奇怪就同时应用。是否允许规范化或删除标记，需要依据字段和格式契约。

明确每个边界的字节契约

HTTP charset 声明或文件格式规范告诉消费者怎样解释字节，修改声明本身不会转码正文。生产端编码器、传输元信息、解析器和存储接口需要一致。应让包含多字节字符的样本经过真实边界，特别检查截断、分块缓冲和按字节计量的限制。只在程序入口看到 UTF-8 字样，并不能说明中途每一步都正确处理了内容。

按数据契约选择错误策略。实验展示 errors=‘replace’ 将非法输入变成 U+FFFD，结果是合法但有损的文本。这可能适合诊断显示，却不能证明标识符或签名数据得到保留。拒绝、替换、移除 BOM 和规范化，应作为具有不同可观察效果的独立决定，避免一个宽松解码动作掩盖本来需要向调用方报告的数据损坏。

限制已解码文本时，使用符合字符需求的操作；限制编码消息时，使用明确消息边界。增量解码解决被切开的字节序列，不定义字素簇、换行布局或数据库比较语义。应验证应用实际要求的属性，而不是把“统一使用 UTF-8”当成所有文本边界都正确的证明。编码一致只是完整文本处理契约的一部分。

来源