PHP json_validate 怎样用 depth 限制嵌套 JSON 深度

接收配置、Webhook 或接口请求时，JSON 可能合法，但嵌套层级远超业务真正需要的范围。PHP 8.3 起可以用 json_validate() 只判断 JSON 语法是否有效；其中 depth 参数负责限制结构的最大嵌套深度，默认值是 512。

官方地址：https://www.php.net/manual/en/function.json-validate.php

把 depth 当成输入结构的上限来设计：内容不符合 JSON 语法时得到 false，参数本身超出允许范围时抛出 ValueError。如果后面马上要用 json_decode()，不要为了“先验证再解码”而无条件解析两次。

depth 到底限制什么

depth 限制的是 JSON 结构的嵌套深度，不是字符串的字节数，也不是对象字段总数。一个对象里有很多同级字段，并不等于嵌套很深；对象套数组、数组套对象，才会不断增加结构层级。

官方函数签名是 json_validate(string $json, int $depth = 512, int $flags = 0): bool。返回值只回答“这段字符串是否是语法有效的 JSON”，不会替你判断字段类型、必填项、数值范围或业务权限。

先用默认值，再按协议收紧上限

不传第二个参数时，PHP 使用 512 作为最大嵌套深度。对普通配置和接口请求，这个默认值通常已经足够；如果你的协议明确规定最多只允许几层，可以把协议上限写进调用处，让限制和接口设计保持一致。

getMessage());
}
?>

这里的 8 只是示例值。不要把它理解成 PHP 的固定推荐值；真实上限应由输入协议、业务模型和资源预算共同决定。

把 false 和 ValueError 分成两条路径

JSON 内容不合法时，json_validate() 返回 false，可以继续用 json_last_error() 或 json_last_error_msg() 读取最近一次 JSON 操作的错误信息。相反，如果 depth 小于等于 0，或者大于 2147483647，函数会抛出 ValueError。

getMessage(), PHP_EOL;
}
?>

depth 和 json_decode 要保持一致

官方手册说明：当 json_validate() 返回 true 时，如果 json_decode() 使用相同的 depth 和 flags，就能成功解码这段 JSON。若两次调用使用不同限制，前面的判断就不能代表后面的解码边界。

getMessage());
}
?>

如果代码紧接着就要使用解码后的数组或对象，直接调用 json_decode() 往往更合适，因为解码过程本身已经会做语法校验。单独使用 json_validate() 更适合“只想知道输入是否为合法 JSON、暂时不需要构造数据结构”的场景。

flags 不是 depth 的替代品

当前官方手册列出的 flags 支持项是 JSON_INVALID_UTF8_IGNORE。它处理的是输入字符串中的 UTF-8 行为，不会把嵌套层级变浅，也不会放宽 depth 的取值范围。不要用 flags 解决本来属于深度限制的问题。

同样，depth 也不会替你检查“顶层必须是对象”“字段必须存在”或“数组长度不能超过多少”。通过语法校验后，仍要在业务层检查解码结果的类型、字段和权限。

实践中的选择清单

相关问题

depth 越大越好吗？

不是。它应覆盖合法协议所需的最大层级，并给异常输入留出可控边界。无理由地把上限调得很大，会削弱限制的意义。

json_validate 能检查字段是否存在吗？

不能。它主要判断 JSON 语法，字段存在性和类型属于解码后的业务校验。

为什么返回 false 后还要读 json_last_error_msg？

布尔值只告诉你校验失败，错误函数可以补充最近一次 JSON 操作的原因，便于记录日志或返回稳定的客户端提示。