PHP 序列化與反序列化深度指南：serialize/unserialize、JSON、igbinary 與安全防範

<?php
// 安全儲存/傳輸封裝
function safeSerialize(mixed $data): string {
    return base64_encode(serialize($data));
}
function safeUnserialize(string $str): mixed {
    $data = @base64_decode($str, true); // strict 模式
    if ($data === false) throw new InvalidArgumentException('Invalid base64');
    return @unserialize($data);
}

// 進階：壓縮 + Base64 (大物件)
function compactSerialize(mixed $data): string {
    return base64_encode(gzcompress(serialize($data), 6)); // 壓縮等級 6
}
function compactUnserialize(string $str): mixed {
    $decoded = base64_decode($str, true);
    if ($decoded === false) throw new InvalidArgumentException('Invalid base64');
    $decompressed = @gzuncompress($decoded);
    if ($decompressed === false) throw new RuntimeException('Decompress failed');
    return @unserialize($decompressed);
}
?>

格式對比：選擇適合你的序列化協議

⚠️ 反序列化漏洞 (PHP Object Injection) — 必讀

當不可信資料傳入 unserialize()，攻擊者可構造惡意物件鏈，觸發 __wakeup()/__destruct()/__toString() 等魔術方法，導致 RCE、檔案讀寫、SQL 注入等。

攻擊向量示意

// 攻擊者構造 payload (簡化版)
class Evil {
    public $cmd = 'rm -rf /';
    public function __destruct() { system($this->cmd); }
}
// 序列化後: O:4:"Evil":1:{s:3:"cmd";s:8:"rm -rf /";}
// 若應用: unserialize($_COOKIE['data']) -> 災難

防範鐵律

1. 絕不對不可信資料使用 unserialize()：Cookie、Request 參數、HTTP Header、資料庫使用者可控欄位。
2. 改用 JSON：json_decode($input, true) 只產生陣列/標量，無物件實例化風險。
3. 若必須用 unserialize (舊 Session/緩存)：
   • PHP 7.0+：unserialize($data, ['allowed_classes' => false]) 禁止所有類別實例化 (只還原陣列/標量)。
   • PHP 7.1+：['allowed_classes' => ['MySafeClass', 'AnotherClass']] 白名單模式。
   • 簽名驗證：儲存時 hash_hmac('sha256', serialize($data), $secret)，讀取時先驗簽名再反序列化。
4. Session 安全：session.serialize_handler = php_serialize (預設)，搭配 session.use_strict_mode = 1、HTTPS Only Cookie、定期輪換 Session ID。
5. 禁用危險類別：若專案不需特定類別，可在 php.ini 設定 unserialize_allowed_classes (PHP 8.4+ 提議) 或自行封裝安全解析器。

最佳實踐總結

• API/配置/跨語言：JSON (內建、安全、可讀)。
• 高效能 PHP 內部緩存/Session：igbinary (安裝擴充、設定 session.serialize_handler=igbinary)。
• 微服務/gRPC 替代：MessagePack/Protobuf。
• 舊專案相容：serialize() + Base64 + HMAC 簽名 + allowed_classes 白名單。
• 永遠記住：unserialize($userInput) = 遠端代碼執行風險。