使用JS FormData与PHP后端处理textarea换行的跨平台安全性问询

我在Ubuntu 20.04环境下运行PHP 7.4网站，设有包含textarea元素的表单，代码如下：

<form id="user-input"><textarea name="usertags"></textarea></form>

用户点击提交按钮时，通过JavaScript的FormData和JSON.stringify发起POST请求，代码如下：

formData = new FormData(document.getElementById("user-input"));
async function postUserAction(formData) {
  const response = await fetch('https://example.com/action.php', {
    method: 'POST',
    body: JSON.stringify(Object.fromEntries(formData))
  });
  return await response.json();
}

PHP后端处理代码如下：

$json = file_get_contents('php://input');
$data = json_decode($json);
$tags= explode(PHP_EOL, $data->usertags);

我的问题是：无论用户使用何种浏览器、系统或设备，PHP_EOL是否能保证跨平台的拆分一致性？因需将标签存入数据库，必须确保结果统一。

用PHP_EOL处理跨平台的textarea换行是不安全的，无法保证拆分结果一致。

原因在于：不同操作系统的换行符标准不同——Windows系统是\r\n，Linux/Unix系统是\n，旧版Mac系统是\r。用户在textarea中输入的换行符，由其使用的操作系统和浏览器决定，比如Windows用户输入的换行是\r\n，而你的Ubuntu服务器上PHP_EOL的值是\n。用PHP_EOL拆分时，Windows用户输入的\r\n会被拆分成带\r后缀的标签，旧Mac用户输入的\r则完全无法被拆分，最终导致数据库中的标签格式混乱。

要实现跨平台一致的拆分，推荐两种方案：

• 直接用正则表达式匹配所有可能的换行符进行拆分
• 先统一替换所有换行符为服务器端标准，再拆分

修改后的PHP代码示例：

$json = file_get_contents('php://input');
$data = json_decode($json);
// 匹配所有类型的换行符拆分内容
$tags = preg_split('/\r\n|\r|\n/', $data->usertags);
// 可选：过滤空行（避免用户连续换行产生空标签）
$tags = array_filter($tags, function($tag) {
    return trim($tag) !== '';
});

这样无论用户使用什么系统或设备输入换行，都能被正确拆分，确保存入数据库的标签格式统一。

内容的提问来源于stack exchange，提问作者novicecoder