это магические цитаты, вероятно, в ответ на такое поведение.
Таким образом, для десериализации вам может потребоваться сначала сделать полоску ():
if (get_magic_quotes_gpc()) $data = stripslashes($data);
хотя почти невозможно включить magic_quotes в системе 5.2 ...
Чтобы сказать что-то определенное, вы должны найти разницу между исходными и возвращенными данными.
Но в любом случае, почему бы вам не использовать сессии вместо отправки данных в браузер и обратно? Сессии действительно быстрее и безопаснее.