unserialize() 绝对不可用于用户输入，因其设计机制天然依赖字符串结构完整性，攻击者只需操控类名或属性个数即可触发__wakeup()等魔术方法执行，导致远程代码执行。
unserialize() 不该出现在任何处理用户输入的代码路径中——这是唯一能真正阻断反序列化漏洞的硬性边界。
为什么 unserialize() 一接用户输入就等于开后门
不是它“可能”出问题，而是它的设计机制天然依赖字符串结构完整性，而攻击者根本不需要改函数名、插关键词，只要控制序列化字符串里标注的属性个数或类名，就能触发 __wakeup()、__destruct() 等魔术方法执行。真实漏洞案例中，O:4:"User":2:{...} 这种看似干净的字符串，只要类定义里有未校验的 __wakeup()，就可能调用 file_put_contents() 写 shell。
- PHP 7.4+ 的
allowed_classes参数若设为true或漏写，等同于没设防 - 正则过滤
system、eval等关键词完全无效：POP 链靠的是方法调用顺序，不是字符串里有没有危险词 - URL 编码、Base64、Unicode 零宽字符都能绕过基于文本的检测逻辑
json_decode() 替代 unserialize() 的实操要点
95% 的业务场景（接口传参、配置加载、缓存存储）都能用 json_decode($input, true) 安全替代。但要注意三处细节：
- 必须加第二个参数
true，否则返回stdClass对象，后续数组操作会报错 - 反序列化后立刻做类型校验：
is_array($data) && isset($data['id'], $data['name']) - 敏感字段（如
callback、class）必须显式白名单过滤，不能只信json_last_error() === JSON_ERROR_NONE
示例：$user = json_decode($_POST['data'], true); if (!is_array($user) || !isset($user['id']) || !is_numeric($user['id'])) { die('invalid input'); }
不得不保留 unserialize() 时的强制加固项
仅限 Redis 存对象、遗留框架 Session 处理等无法替换的场景。必须同时满足以下四点，缺一不可：
立即学习“PHP免费学习笔记（深入）”；
- PHP 版本 ≥ 7.4，且所有
unserialize()调用都带['allowed_classes' => ['App\Models\SafeUser']]，禁止用true或空数组 - 每个被允许的类必须定义
__wakeup()，并在开头校验关键属性：if (!in_array($this->status, ['active', 'pending'])) { throw new RuntimeException(); } - 禁用
__sleep()返回动态生成的属性名；若必须用，需强制校验返回值：array_values($props) === $props && array_filter($props, 'is_string') === $props - 生产环境禁用
display_errors，且在__destruct()开头加if (defined('APP_ENV') && APP_ENV !== 'prod') exit;
serialize() 本身也有坑：对象属性可见性影响序列化结果
同一个类，public、protected、private 属性在序列化字符串里编码方式不同，容易导致反序列化失败或字段丢失：
-
public $name→s:4:"name"; -
protected $email→s:8:"*email";（中间是%00*%00字节） -
private $token→s:16:"UserToken";（中间是%00User%00）
如果类结构变更（比如把 public 改成 protected），旧的序列化字符串直接反序列化会丢失该字段，且不报错——这种静默失败比报错更难排查。
