unserializeを安全に行う方法がわかりません。

Question

【やりたいこと】
ユーザーがPOSTしたarrayデータをDBに保存し、保存したデータをWEBページに表示する際、arrayデータをforeachで回したいと思っています。

【問題】
ユーザーがPOSTしたarrayデータは、そのままではDBに保存できなかったので、serializeしてからDBに保存しました。
そして、そのデータをWEBページに表示する際、arrayデータをforeachで回すために、unserializeを使おうと考え、以下のようなコードを考えました。

<?php
$array = serializeしてからDBに保存されたarrayデータをSQL文で取得
// 上記の$arrayをunserializeする
$array = unserialize($array);

foreach( $array as $key => $value ){
  $html .= $key.'は'.$value.'です。<br>';
}
echo $html; //ページに出力
?>

しかし、unserializeのマニュアルページ（https://www.php.net/manual/ja/function.unserialize.php）に、以下のように書かれていました。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
ユーザーからの入力をそのまま unserialize() に渡してはいけません。 アンシリアライズの時には、オブジェクトのインスタンス生成やオートローディングなどで コードが実行されることがあり、悪意のあるユーザーがこれを悪用するかもしれないからです。 シリアル化したデータをユーザーに渡す必要がある場合は、安全で標準的なデータ交換フォーマットである JSON などを使うようにしましょう。 json_decode() および json_encode() を利用します。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝

私はJSONに関する知識が浅く、内容がよく理解できず、手が止まってしまいました。
つまり、上記に書いた私のコードは、危険ということでしょうか。

だとしたら、私はどのようにして「安全に」ユーザーがPOSTしたarrayデータを、その後、ページにforeachで出力すればよいのでしょうか。JSONを使用するとありますが、具体的にどのようにJSONを使えばよいかわからず、途方にくれております。

どなたか、道しるべを頂けましたら幸いです。
何卒、よろしくお願いいたします。

Answer 1

特に問題ありません。

シリアル化は自分のコードで行って、その結果をデータベースに保管して取り出すだけなので、「シリアル化したデータをユーザーに渡す」状況ではありません。

Comments

[maisumakun]

もっとも、シリアル化したデータを突っ込むよりは、データベースをきちっと正規化して設計するほうがいいかと思います。

[yayak]

maisumakun様、有難うございます。「シリアル化したデータをユーザーに渡す」状況ではなかったのですね。ご教授いただき、心より感謝申し上げます。

>データベースをきちっと正規化して設計するほうがいいかと思います。
現在、arrayの中身は連想配列となっていて、その数はユーザー側でどんどん増やせます。
そのような状況に合わせてDBを設計するための知識が浅いため、さらに知識と経験を積みたいと思います。有難うございます。

[maisumakun]

そのような場合の必要悪として「EAV」という手法もあります…が、「項目まで完全にユーザーの任意」となると、DB側では保存・表示だけできればいいので、シリアライズ形のままでもいいかも知れないです。

Answer 2

ほぼ解決されたようですが、json_encode / json_decodeについては以下のサンプルを動かしてみたら分かると思います。

<?php
  $a = ['abc', 5, 6.5];
  $json = json_encode($a);

  echo "json=$json\n";

  $b = json_decode($json, true);
  var_dump($b);

実行結果は以下となります。

json=["abc",5,6.5]
array(3) {
  [0]=>
  string(3) "abc"
  [1]=>
  int(5)
  [2]=>
  float(6.5)
}

maisumakunさんの指摘の通り、提示された状況では危険はありませんが、serialize / unserialize は使い方によっては大変危険なので、JSONですむ応用ならJSONを使うべきだと思います。
serialize / unserialize の危険性については私の以下のYouTube動画を見ていただくのがよいと思います。

安全でないデシリアライゼーション入門～基礎編～

Comments

[yayak]

ockeghem様、いつもツイッターやYoutube拝見させていただき勉強させて頂いております。
自分で試してみるべきところ、わざわざコードに示していただき、恐縮の限りです。
Youtubeも拝見させていただきましたが、大変勉強になりました。有難うございます。

Answer 3

実際にやってみたら分かるかと思いますが、
json_encode()してDBに保存して、取り出したデータをjson_decode() をすれば良いので、JSONを直接触るとか考えなきゃいけないとかはありません。

Comments

[yayak]

m.ts10806様、有難うございます。
私は何やら勘違いしていたようですね。
保存時：arrayデータをserialize()して、さらにjson_encode()をしてDBに保存。
出力時：DBのデータをunserialize()して、さらに json_decode()してから出力。
というふうに思い込んでいました。

そうではなく、
保存時：arrayデータを、serialize()は使わず、json_encode()を使用してからDBに保存。
出力時：DBのデータを、unserialize()は使わず、 json_decode()してから出力。

ということだったのでしょうか？

[m.ts10806]

json_encode()および json_decode()のPHPマニュアルのページを確認し、簡単なテストコードを書いてみては如何でしょうか。

[m.ts10806]

なので「実際にやってみたら分かるかと思いますが、」と前置きしています。

[yayak]

m.ts10806様、かしこまりました。やってみます！
有難うございます<(_ _)>