2. 程式人生 > 程式設計 >PHP序列化和反序列化深度剖析例項講解

PHP序列化和反序列化深度剖析例項講解

阿新 • • 發佈：2020-12-30

序列化

序列化格式

在PHP中，序列化用於儲存或傳遞 PHP 的值的過程中，同時不丟失其型別和結構。

序列化函式原型如下：

string serialize ( mixed $value )

先看下面的例子：

class CC {
	public $data;
	private $pass;
	public function __construct($data,$pass) {
		$this->data = $data;
		$this->pass = $pass;
	}
}
$number = 34;
$str = 'uusama';
$bool = true;
$null = NULL;
$arr = array('a' => 1,'b' => 2);
$cc = new CC('uu',true);
var_dump(serialize($number));
var_dump(serialize($str));
var_dump(serialize($bool));
var_dump(serialize($null));
var_dump(serialize($arr));
var_dump(serialize($cc));

輸出結果為：

string(5) "i:34;"
string(13) "s:6:"uusama";"
string(4) "b:1;"
string(2) "N;"
string(30) "a:2:{s:1:"a";i:1;s:1:"b";i:2;}"
string(52) "O:2:"CC":2:{s:4:"data";s:2:"uu";s:8:" CC pass";b:1;}"

所以序列化對於不同型別得到的字串格式為：

  • String: s:size:value;
  • Integer: i:value;
  • Boolean: b:value;(儲存1或0)
  • Null: N;
  • Array
    : a:size:{key definition;value definition;(repeated per element)}
  • Object: O:strlen(object name):object name:object size:{s:strlen(property name):property name:property definition;(repeated per property)}

序列化物件

從上面的例子中我們可以看出序列化物件的時候，只會儲存屬性值。

  • 那麼物件中的常量會不會儲存呢？
  • 如果是繼承，父類的變數會不會儲存呢
class CB {
	public $CB_data = 'cb';
}
class CC extends CB {
	const SECOND = 60;
	public $data;
	private $pass;
	public function __construct($data,$pass) {
		$this->data = $data;
		$this->pass = $pass;
	}
	public function setPass($pass) {
		$this->pass = $pass;
	}
}
$cc = new CC('uu',true);
var_dump(serialize($cc));

輸出結果為：

string(75) "O:2:"CC":3:{s:4:"data";s:2:"uu";s:8:" CC pass";b:1;s:7:"CB_data";s:2:"cb";}"

顯然，序列化物件時，不會儲存常量的值。對於父類中的變數，則會保留。

物件序列化自定義

在序列化物件的時候，對於物件中的一些敏感屬性，我們不需要儲存，這又該如何處理呢？

當呼叫serialize()函式序列化物件時，該函式會檢查類中是否存在一個魔術方法__sleep()。如果存在，該方法會先被呼叫，然後才執行序列化操作。可以通過過載這個方法，從而自定義序列化行為。該方法原型如下：

public array __sleep ( void )

該方法返回一個包含物件中所有應被序列化的變數名稱的陣列

  • 該方法返回一個包含物件中所有應被序列化的變數名稱的陣列
  • 該方法未返回任何內容，則 NULL 被序列化，併產生一個E_NOTICE級別的錯誤
  • __sleep()不能返回父類的私有成員的名字。這樣做會產生一個E_NOTICE級別的錯誤。這時只能用Serializable介面來替代。
  • 常用於儲存那些大物件時的清理工作，避免儲存過多冗餘資料

看下面的例子：

class User{
	const SITE = 'uusama';

	public $username;
	public $nickname;
	private $password;

	public function __construct($username,$nickname,$password)
	{
		$this->username = $username;
		$this->nickname = $nickname;
		$this->password = $password;
	}

	// 過載序列化呼叫的方法
	public function __sleep()
	{
		// 返回需要序列化的變數名，過濾掉password變數
		return array('username','nickname');
	}
}
$user = new User('uusama','uu','123456');
var_dump(serialize($user));

返回結果如下，顯然序列化的時候忽略了 password 欄位的值。

string(67) "O:4:"User":2:{s:8:"username";s:6:"uusama";s:8:"nickname";s:2:"uu";}"

序列化物件儲存

通過上面的介紹，我們可以把一個複製的物件或者資料序列化成一個序列字串，儲存值的同事還儲存了他們的結構。

我們可以把序列化之後的值儲存起來，存在檔案或者快取裡面。不推薦存在資料庫裡面，可讀性查，而且不便於遷移維護，不便於查詢。

$user = new User('uusama','123456');
$ser = serialize($user);
// 儲存在本地
file_put_contents('user.ser',$ser);

反序列化

使用方法

通過上面的講解，我們可以將物件序列化為字串並儲存起來，那麼如何把這些序列化後的字串恢復成原樣呢？PHP提供了反序列函式：

mixed unserialize ( string $str )

unserialize()反序列化函式用於將單一的已序列化的變數轉換回 PHP 的值。

  • 如果傳遞的字串不可解序列化，則返回 FALSE，併產生一個E_NOTICE
  • 返回的是轉換之後的值，可為integer、float、string、array或object
  • 若被反序列化的變數是一個物件，在成功重新構造物件之後，PHP會自動地試圖去呼叫__wakeup()成員函式（如果存在的話）

看下面的例子：

class User{
	const SITE = 'uusama';

	public $username;
	public $nickname;
	private $password;
	private $order;

	public function __construct($username,$password)
	{
		$this->username = $username;
		$this->nickname = $nickname;
		$this->password = $password;
	}

	// 定義反序列化後呼叫的方法
	public function __wakeup()
	{
		$this->password = $this->username;
	}
}
$user_ser = 'O:4:"User":2:{s:8:"username";s:6:"uusama";s:8:"nickname";s:2:"uu";}';
var_dump(unserialize($user_ser));

輸出結果為：

object(User)#1 (4) {
["username"]=>
string(6) "uusama"
["nickname"]=>
string(2) "uu"
["password":"User":private]=>
string(6) "uusama"
["order":"User":private]=>
NULL
}

可以得出以下結論：

  • __wakeup()函式在物件被構建以後執行，所以$this->username的值不為空
  • 反序列化時，會盡量將變數值進行匹配並複製給序列化後的物件

未定義類的處理

在上面的例子中，我們在呼叫反序列化函式unserialize()之前，提前定義了User類，如果我們沒有定義會怎麼樣呢？

$user_ser = 'O:4:"User":2:{s:8:"username";s:6:"uusama";s:8:"nickname";s:2:"uu";}';
var_dump(unserialize($user_ser));

這個例子中，我們沒有定義任何的User類，反序列化正常執行，並沒有報錯，得到的結果如下：

object(__PHP_Incomplete_Class)#1 (3) {
 ["__PHP_Incomplete_Class_Name"]=>
 string(4) "User"
 ["username"]=>
 string(6) "uusama"
 ["nickname"]=>
 string(2) "uu"
}

注意對比之前定義了User類的結果，這兒反序列化得到的物件是__PHP_Incomplete_Class，並指定了未定義類的類名。

如果這個時候我們去使用這個反序列化後的不明物件，則會丟擲E_NOTICE。這麼看著不能用也不是辦法，那麼如何處理呢？有兩種方案。

  • 定義__autoload()等函式，指定發現未定義類時載入類的定義檔案
  • 可通過 php.ini、ini_set() 或 .htaccess 定義unserialize_callback_func。每次例項化一個未定義類時它都會被呼叫

以上兩種方案的實現如下：

// unserialize_callback_func 從 PHP 4.2.0 起可用
ini_set('unserialize_callback_func','mycallback'); // 設定您的回撥函式
function mycallback($classname) 
{
 // 只需包含含有類定義的檔案
 // $classname 指出需要的是哪一個類
}


// 建議使用下面的函式，代替__autoload()
spl_autoload_register(function ($class_name) {
	// 動態載入未定義類的定義檔案
 require_once $class_name . '.php';
});

PHP預定義序列化介面Serializable

還記得上面在將序列化過程中遇到的：無法在__sleep()方法中返回父類物件的問題嗎，方法就是實現序列化介面Serializable。

該介面的原型如下：

Serializable {
	abstract public string serialize ( void )
	abstract public mixed unserialize ( string $serialized )
}

需要注意的是，如果定義的類實現了Serializable介面，那麼序列化和反序列化的時候，PHP就不會再去呼叫__sleep()方法和__wakeup()方法。

class CB implements Serializable{
	public $CB_data = '';
	private $CB_password = 'ttt';

	public function setCBPassword($password)
	{
		$this->CB_password = $password;
	}

	public function serialize()
	{
		echo __METHOD__ . "\n";
		return serialize($this->CB_password);
	}

	public function unserialize($serialized)
	{
		echo __METHOD__ . "\n";
	}
}

class CC extends CB {
	const SECOND = 60;

	public $data;
	private $pass;

	public function __construct($data,$pass)
	{
		$this->data = $data;
		$this->pass = $pass;
	}

	public function __sleep()
	{
		// 輸出呼叫了該方法名
		echo __METHOD__ . "\n";
	}

	public function __wakeup()
	{
		// 輸出呼叫了該方法名
		echo __METHOD__ . "\n";
	}
}
$cc = new CC('uu',true);
$ser = serialize($cc);
var_dump($ser);
$un_cc = unserialize($ser);
var_dump($un_cc);

執行結果為：

CB::serialize
string(24) "C:2:"CC":10:{s:3:"ttt";}"
CB::unserialize
object(CC)#2 (4) {
["data"]=>
NULL
["pass":"CC":private]=>
NULL
["CB_data"]=>
string(0) ""
["CB_password":"CB":private]=>
string(3) "ttt"
}

可以完全定義serialize()方法，該方法返回的值就是序列化後大括號內的值，只要保證自定義序列化和反序列化的規則一致即可。

到此這篇關於PHP序列化和反序列化深度剖析例項講解的文章就介紹到這了,更多相關PHP序列化和反序列化內容請搜尋我們以前的文章或繼續瀏覽下面的相關文章希望大家以後多多支援我們！

相關推薦

PHP序列化和反序列化深度剖析例項講解

序列化 序列化格式 在PHP中，序列化用於儲存或傳遞 PHP 的值的過程中，同時不丟失其型別和結構。

PHP序列化和反序列化漏洞

技術標籤：web安全php安全 文章目錄 序列化序列化陣列序列化物件 反序列化序列化漏洞+例項_wakeup()漏洞的繞過攻防世界：unserialize3攻防世界:Web_php_unserializebuuctf:[網鼎杯 2020 青龍組]AreUSerialz

[學習]php物件序列化和反序列化

php 物件序列化和反序列化 深度剖析PHP序列化和反序列化 PHP 序列化(serialize)格式詳解

JAVA序列化和反序列化的底層實現原理解析

一、基本概念 1、什麼是序列化和反序列化 　（1）Java序列化是指把Java物件轉換為位元組序列的過程，而Java反序列化是指把位元組序列恢復為Java物件的過程；

Java原生序列化和反序列化程式碼例項

這篇文章主要介紹了Java原生序列化和反序列化程式碼例項,文中通過示例程式碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下

Python 序列化和反序列化庫 MarshMallow 的用法例項程式碼

序列化（Serialization）與反序列化（Deserialization）是RESTful API 開發中繞不開的一環，開發時，序列化與反序列化的功能實現中通常也會包含資料校驗（Validation）相關的業務邏輯。

【學習歷程05】序列化和反序列化

1class Program 2{ 3static void Main(string[] args) 4{ 5//序列化：將資料轉換為二進位制 6//反序列化：將二進位制轉換為資料

WCF初探-24：WCF序列化和反序列化

前言 WCF包含很多封裝的內部機制，這些是我們在編寫程式時不會經常看到的。比如上一篇講解的Message。這一篇我將講解WCF的另一種內部機制，WCF的序列化和反序列化。通常我們在編寫WCF服務程式的時候，我們並沒有手

449. 序列化和反序列化二叉搜尋樹

序列化是將資料結構或物件轉換為一系列位的過程，以便它可以儲存在檔案或記憶體緩衝區中，或通過網路連線鏈路傳輸，以便稍後在同一個或另一個計算機環境中重建。

淺談.Net中的序列化和反序列化

序列化和反序列化相信大家都經常聽到，也都會用， 然而有些人可能不知道：.net為什麼要有這個東西以及.net Frameword如何為我們實現這樣的機制， 在這裡我也是簡單談談我對序列化和反序列化的一些理解。

java中的序列化和反序列化

介紹 序列化就是將物件轉換成位元組序列，反序列化就是將位元組序列轉換成物件。

C#中使用泛型物件(List<T>)對xml檔案中的重複節點進行的序列化和反序列化

本文描述將物件(List<T>)序列化到 XML 文件中和從 XML 文件中反序列化為物件(List<T>)。

IO-----序列化和反序列化

當我們把一個物件的資訊儲存到我們的硬碟的軟體當中的時候，我們肯定不想讓別人直接就可以開啟檔案看懂我們儲存的

C# json字串的序列化和反序列化

一. Json的表現形式 1. 物件： 一個沒有順序的“鍵/值”,一個物件以花括號“{”開始，並以花括號\"}\"結束，

【LeetCode/LintCode】 題解丨谷歌面試題：二叉樹的序列化和反序列化

設計一個演算法，並編寫程式碼來序列化和反序列化二叉樹。將樹寫入一個檔案被稱為“序列化”，讀取檔案後重建同樣的二叉樹被稱為“反序列化”。

Django序列化1_基本的序列化和反序列化

1.序列化 import datetime from rest_framework import serializers from django.conf import settings settings.configure()

一文帶你徹底理解Java序列化和反序列化

Java序列化是什麼？ Java序列化是指把Java物件轉換為位元組序列的過程，Java反序列化是指把位元組序列恢復為Java物件的過程。

jackson序列化和反序列化的應用實踐指南

原始碼地址:https://github.com/zhouweixin/serializable 1 相關概念 序列化: 把物件轉換為位元組序列的過程稱為物件的序列化

6.序列化和反序列化

6.1 什麼是序列化和反序列化 6.1.1 序列化就是把java物件轉換為位元組序列的過程

Python使用pickle進行序列化和反序列化的示例程式碼

一、說明 早上看到Python使用pickle進行序列化和反序列化，然後發現面臨的一個獲取不到返回值的框架，似乎可以通過在框架中先序列化，然後在外部進行反序列化的方法來實現。就研究了一下pickle庫的具體使用。