兩者均將變量轉為字符串以便存儲/傳輸，但設計初衷、適用場景、性能特徵截然不同。本文從原理、實測、選型三個維度深度解析。
| 維度 | serialize() | json_encode() |
|---|---|---|
| 輸出格式 | PHP 專有二進制安全字符串 (含類型、長度、結構) | 通用 JSON 文本 (UTF-8, 鍵值對, 數組/對象) |
| 可讀性 | 極低 (需反序列化才能讀懂) | 高 (人類可直接閱讀、編輯) |
| 跨語言 | 否 (僅 PHP 可解析) | 是 (所有主流語言原生支援) |
| 對象支援 | 完美 (保留類名、屬性可見性、魔術方法 __sleep/__wakeup) | 僅公開屬性 (私有/受保護屬性丟失), 需實現 JsonSerializable |
| 資源類型 | 不可序列化 (報錯) | 不可編碼 (報錯/轉為 null) |
| 性能 (序列化) | 略快 (原生二進制格式) | 稍慢 (UTF-8 編碼、轉義處理) |
| 性能 (反序列化) | 快 | 快 (原生 C 級實現) |
| 體積 | 較大 (類型標識、長度前綴) | 較小 (純文本, 無類型元數據) |
| 安全性 | 風險高 (反序列化可觸發 __wakeup/魔術方法, 導致 RCE) | 安全 (純數據, 無代碼執行風險) |
$data = [
'game' => '德乙',
'home' => '比勒費爾德',
'guest' => '不倫瑞克',
'time' => '2024-08-21'
];
// serialize
$ser = serialize($data);
// a:4:{s:4:"game";s:6:"德乙";s:4:"home";s:15:"比勒費爾德";s:5:"guest";s:12:"不倫瑞克";s:4:"time";s:10:"2024-08-21";}
$restored = unserialize($ser); // 完美還原
// json_encode
$json = json_encode($data, JSON_UNESCAPED_UNICODE);
// {"game":"德乙","home":"比勒費爾德","guest":"不倫瑞克","time":"2024-08-21"}
$decoded = json_decode($json, true); // 關聯數組
$obj = json_decode($json); // stdClass 對象
serialize，但必須確保數據來源可信 (防反序列化漏洞)。JSON_EXTRACT、->> 索引查詢 (MySQL 5.7+/8.0 原生 JSON 類型更佳)。Illuminate\Contracts\Queue\QueueableEntity)，放棄 `serialize`。// 危險示例: 反序列化用戶可控數據 $data = $_COOKIE['user_data']; // 攻擊者構造惡意序列化字符串 $user = unserialize($data); // 觸發 __wakeup -> __destruct -> RCE // 防禦: 1. 永遠不要 unserialize() 不可信數據 (Cookie、Request、數據庫用戶字段)。 2. 必須用時: PHP 7.0+ 使用 allowed_classes 選項 $obj = unserialize($data, ['allowed_classes' => [User::class, DTO::class]]); 3. 生產環境統一遷移至 JSON + 白名單類映射機制。
json_encode($data, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES) 減少轉義體積。igbinary 擴展 (二進制、更快、更小)，支援 `serialize`/`unserialize` 兼容 API。結論： 現代 PHP 開發中，JSON 是 95%+ 場景的最優解。`serialize` 仅保留在極少數需要完整對象圖持久化且環境完全可控的legacy場景。新項目請毫猶豫選 JSON。
