si hai ragione, si ricade per forza sul punto 2. E' quello che alla fine ci tocca usare.
Tuttavia mi chiedevo se appunto qualcuno ha idee più eleganti di quella che io e te adottiamo. Tu capisci che concettualmente ci vorrebbe qualcosa che ci permettesse di prescindere del tutto dalla inibizione di un carattere arbitrario da noi scelto.

E' un po' paradossale che questo problema non abbia trovato applicativi noti (o almeno a me noti!) che permettano di inviare ad un server una array (un data type direi un tantinello importante...!) preservandone la struttura a prescindere da tatticismi come il joiner arbitrario (che poi lo escludi via javascript, ma una volta sul server alla fine ti tocca fare questo: contare i joiner e se sono maggiori della lunghezza della array inviata, dedurne che forse c'è una injection; insomma, il controllo che abbiamo sulle array via ajax è, fondamentalmente, nullo).

Inoltre il punto 3 è per me poco comprensibile - un mio limite indubbiamente, ma come è possibile che oltre a questo problema, non disponiamo di applicativi noti (almeno a me, ancora una volta) che ci permettano di dedurre una lunghezza univoca e per il server e per il client delle stringhe di testo che contengano caratteri che non siano ascii?

mah! magari qualcuno ne sa più di me. Anche una ricerca su internet produce poco. So solo che pare che in Java sia possibile, ma: e se il tuo server non sta usando Java, che famo?