Rsa97

json_decode()

Использовать подготовленные запросы mysqli_ или PDO

Почему "не воспринимает"? Просто кодирует для безопасной передачи. \u0442... - как раз представление строки в Unicode.

Самый примитивный способ

<button onclick="addItem(код_товара, название_товара, цена);">+</button>

Префикс 'X-' означает расширение (eXtension) стандартного набора полей заголовка. 'Insta' - приложение, добавляющее заголовок, скорее всего инстаграм. 'Forwarded-For' - обычно используется всякими прокси, передающими в таком поле реальный IP клиента, запросившего через них страницу.
То есть для данной процедуры требуется установка в заголовке запроса поля 'X-Insta-Forwarded-For' со значением, скорее всего, равным IP.