Почему использование функции serialize() для хранения данных в БД — это плохая практика и чем формат JSON лучше?
Функция serialize() в PHP создаёт строковое представление переменной, которое можно сохранить в базе данных. На первый взгляд это удобно, но на практике такой подход порождает целый ряд серьёзных проблем.
**Проблемы serialize()**
1. **Безопасность.** Главная и наиболее критичная проблема — уязвимость к атакам типа PHP Object Injection. Если данные, сохранённые через serialize(), попадают обратно в unserialize() без должной проверки, злоумышленник может подсунуть вредоносный сериализованный объект. При десериализации PHP автоматически вызовет магические методы (__wakeup, __destruct), что может привести к выполнению произвольного кода на сервере. Это одна из самых опасных уязвимостей в экосистеме PHP.
2. **Привязка к PHP.** Формат serialize() является проприетарным для PHP. Если вам потребуется обработать данные на Python, JavaScript, Go или любом другом языке, вы столкнётесь с серьёзными трудностями. Стандартных парсеров для PHP-сериализации в других языках нет.
3. **Нечитаемость.** Строка вида `a:2:{s:4:»name»;s:4:»Ivan»;s:3:»age»;i:30;}` крайне сложна для восприятия человеком. Отладка и ручная проверка данных в БД превращаются в мучение.
4. **Невозможность запросов.** Данные, сохранённые в сериализованном виде, нельзя эффективно использовать в SQL-запросах. Вы не можете сделать WHERE или индексировать поля внутри сериализованной строки стандартными средствами.
5. **Хрупкость при изменении структуры классов.** Если вы сериализовали объект класса, а потом переименовали класс или изменили его структуру, десериализация сломается.
**Почему JSON лучше**
1. **Безопасность.** json_decode() не создаёт объекты PHP-классов по умолчанию и не вызывает никаких магических методов. Риск Object Injection отсутствует.
2. **Универсальность.** JSON — международный стандарт (RFC 8259). Его поддерживают все современные языки программирования без исключения. Данные легко передаются между сервисами.
3. **Читаемость.** JSON-строка `{«name»:»Ivan»,»age»:30}` понятна любому разработчику без дополнительных инструментов.
4. **Поддержка в СУБД.** PostgreSQL и MySQL имеют нативные типы данных JSON/JSONB с возможностью индексирования и выборки по вложенным полям прямо в SQL-запросах.
5. **Стабильность.** JSON хранит только данные, а не метаинформацию о классах, поэтому рефакторинг кода не ломает хранимые данные.
**Вывод:** используйте json_encode() / json_decode() вместо serialize() / unserialize() для хранения структурированных данных в базе данных. Это безопаснее, переносимее и удобнее в сопровождении.