お、なるほど。

おかげでわかっちゃった気がすんだけど、
a:1:{i:0;s:1:"4";}
がpostされてmagick_quoteがonだと受け取ったときに
a:1:{i:0;s:1:\"4\";}
となって、unserializeで失敗するのを確認した。

おそらく
ttp://itbtech.itboost.co.jp/man/php_man/configuration.html
に書かれている

>CGI版では、起動する度にこのファイルが読み込まれます

ってことで、トップにphp.iniを置いたらサブディレクトリにも反映すると
思ってたんじゃね？

ようするにルートディレクトリはmagick_quote offでも
下位のadmin/product/はmagick_quote onだったと。