symfony messenger 默认使用不安全的phpserializer，必须显式配置自定义序列化器；推荐用symfony serializer配json格式，并通过@groups注解控制字段，消息类需为纯dto且避免副作用。
Symfony 消息序列化不是靠 Serializer 组件自动处理的，而是由 Messenger 组件自己控制——它默认用 PhpSerializer（PHP 原生 serialize()），但不安全、不可跨语言、无法细粒度控制字段。要安全、可控、可扩展地序列化消息，必须显式配置自定义序列化器。
为什么不能直接用默认 PhpSerializer？
默认序列化器会把整个对象（含闭包、资源、私有状态）转成 PHP 字节流，存在严重隐患：
- 反序列化时可能触发任意代码执行（RCE），尤其在消息被篡改或来自不受信源时
- 无法跨语言消费（比如用 Go 或 Python 写的消费者读不了 PHP serialize 流）
- 不支持忽略敏感字段、重命名属性、控制嵌套深度等业务需求
- 对 Doctrine 实体或带循环引用的对象容易失败
推荐方案：用 Symfony Serializer 配 JSON 序列化器
这是最常用、最安全、也最易调试的方式。需两步配置：
- 确保
framework.serializer: true已启用（config/packages/framework.yaml） - 在
config/packages/messenger.yaml中指定序列化器服务：
framework:
messenger:
serializer:
default_serializer: 'messenger.transport.symfony_serializer'
transports:
async:
dsn: '%env(MESSENGER_TRANSPORT_DSN)%'
# 其他配置...
再定义该服务（推荐用 YAML 或 PHP 配置）：
config/services.yamlservices:
messenger.transport.symfony_serializer:
class: Symfony\Component\Messenger\Transport\Serialization\Serializer
arguments:
- '@serializer'
- { format: 'json', context: { groups: ['messenger'] } }
这样所有发往 async 传输的消息都会走 serializer 服务，并按 ['messenger'] 组规则转成 JSON。
消息类怎么写才适配序列化？
消息类必须是纯数据对象（DTO），不能依赖容器、不能含资源、不能有循环引用。关键点：
- 属性尽量设为
public，或提供标准 getter/setter（如getContent()/setContent()） - 用
@Groups({"messenger"})注解标记要序列化的字段 - 避免在构造函数里做副作用操作（如调用 API、查数据库）
- 如需日期字段，确保
DateTimeNormalizer已启用（默认已注册）
示例：
#[AsMessage]
class SendNotification
{
public function __construct(
#[Groups(['messenger'])] public string $userId,
#[Groups(['messenger'])] public string $template,
#[Groups(['messenger'])] public \DateTimeImmutable $sentAt,
) {}
}
进阶：为不同消息类型配不同序列化规则
可通过 Messenger 的 serializer 键按传输或按消息类定制：
- 为特定传输配独立序列化器（如 RabbitMQ 用 JSON，Redis 用 msgpack）
- 用
message_serializer指定某类消息专用序列化器：
transports:
amqp:
dsn: '%env(RABBITMQ_DSN)%'
options:
queue_name: 'notifications'
serializer: 'app.notification_serializer' # 自定义服务 ID
然后定义 app.notification_serializer 服务，复用 Serializer 类但传入不同上下文（如不同 group、max_depth 等）。
