Избегайте unserialize пользовательского ввода; JSON с явными DTO; лимиты размера; осторожно с гаджетами POP-цепочек.
Разбор
- unserialize — исторический риск RCE.
- allowed_classes строго.
- JSON schema/валидация.
- Подписи для доверенных payload.
Итог
Не unserialize недоверенное; JSON+валидация безопаснее.