词法扫描必须首先做Unicode规范化，剥离或标记控制字符，否则纯文本匹配会漏掉整类攻击。