序列化 PHP

在 PHP 中，可以使用序列化来将变量转换成可存储或可传输的格式，然后在需要时重新还原。这在一些情况下非常有用，比如在将数据存储到数据库或文件中，或者在传输数据时将其编码为 JSON 或 XML 格式。

什么是序列化？

序列化是指将变量转换为可存储或传输的格式的过程。在 PHP 中，可以使用 serialize() 函数来序列化变量，然后使用 unserialize() 函数来还原。序列化后的变量是一个字符串，可以保存到数据库、文件或通过网络传输。

// 将数组序列化
$array = ['hello', 'world'];
$serialized = serialize($array);
echo $serialized;
// 输出：a:2:{i:0;s:5:"hello";i:1;s:5:"world";}

序列化的安全性

序列化后的字符串是可以被攻击者恶意利用的，因为它们可以直接反序列化为一个 PHP 对象或执行任意代码。因此，在对序列化数据进行存储或传输之前，必须进行安全性检查，以确保序列化的内容是可靠的。

为了提高序列化数据的安全性，可以使用 serialize() 函数之前先进行数据格式化，确保序列化的内容只包含需要存储或传输的数据，而不会包含任何恶意代码。此外，也可以使用 base64_encode() 函数对序列化的字符串进行编码，防止数据被篡改或截取。

// 对数据进行格式化并编码
$data = ['username' => 'admin', 'password' => '123456'];
$serialized = base64_encode(json_encode($data));
echo $serialized;
// 输出：eyJ1c2VybmFtZSI6ImFkbWluIiwicGFzc3dvcmQiOiIxMjM0NTYifQ==

序列化对象

在 PHP 中，可以使用 __sleep() 和 __wakeup() 魔术方法来控制对象的序列化和反序列化行为。

__sleep() 方法可以用来指定序列化后需要保存哪些属性。如果没有定义该方法，默认将保存对象的所有属性。__wakeup() 方法可以用来指定对象反序列化时需要执行的操作。

class User
{
    public $name;
    protected $password;

    public function __construct($name, $password)
    {
        $this->name = $name;
        $this->password = $password;
    }

    public function __sleep()
    {
        // 只保存 name 属性
        return ['name'];
    }

    public function __wakeup()
    {
        // 反序列化后重新设置 password 属性
        $this->password = '****';
    }
}

$user = new User('admin', '123456');
$serialized = serialize($user);
echo $serialized . "\n";
// 输出：O:4:"User":1:{s:4:"name";s:5:"admin";}
$unserialized = unserialize($serialized);
print_r($unserialized);
/*
输出：
User Object
(
    [name] => admin
    [password:protected] => ****
)
*/

序列化的局限性

在序列化过程中，一些特殊类型的数据（如资源）无法被序列化，因为它们无法被转换为字符串。此外，在使用不同版本的 PHP 或不同的操作系统时，序列化的结果也有可能不兼容，可能导致无法正常反序列化。

因此，在使用序列化来存储或传输数据时，需要注意这些局限性，尽量避免将无法序列化的特殊类型的数据保存或传输，以及尽量保证系统环境的一致性。