PHP 5 對象序列化：serialize/unserialize、__sleep/__wakeup、資源處理與版本兼容

PHP 5 對象序列化：serialize/unserialize、__sleep/__wakeup、資源處理與版本兼容

本文為《Core PHP Programming》筆記第十三節，詳細講解 PHP 對象序列化機制：serialize()/unserialize()、魔術方法 __sleep()/__wakeup() 控制序列化行為、排除資源屬性、重建連接、版本演進兼容、安全風險與現代替代方案。

1. 基礎序列化

<?php
class User {
    public $name;
    public $id; // 臨時 ID，不需持久化
    public function __construct() { $this->id = uniqid(); }
}
$u = new User();
$u->name = "Leon";
$s = serialize($u); // 字符串：O:4:"User":2:{s:4:"name";s:4:"Leon";s:2:"id";s:13:"5f8d7a1b2c3d4";}
$u2 = unserialize($s); // 新對象，id 為序列化時的值

• serialize() 返回字節流字符串，包含類名、屬性名值對。
• unserialize() 重建對象，**不調用構造函數**，直接恢復屬性值。
• 反序列化前**必須已定義類**（自動加載器需生效）。

2. __sleep()：自定義序列化屬性

class User {
    public $name;
    public $id; // 臨時會話 ID
    public $pdo; // PDO 連接資源，不可序列化

    public function __sleep(): array {
        // 僅返回需序列化的屬性名數組
        return ['name']; // 排除 id、pdo
    }
}
$u = new User();
$u->name = "Leon";
$s = serialize($u); // 僅包含 name
$u2 = unserialize($s);
echo $u2->name; // Leon
// $u2->id 為 null (未序列化)
// $u2->pdo 為 null

• 返回屬性名數組，未列入屬性將**丟失**（反序列化後為 null）。
• 用於：排除資源（連接、句柄、文件指針）、臨時緩存、敏感數據（密碼）、大對象引用防遞歸爆棧。
• 若無 __sleep，默認序列化所有非靜態屬性。

3. __wakeup()：反序列化後重建狀態

class User {
    public $name;
    public $id;
    public $pdo;

    public function __wakeup() {
        // 重新生成臨時 ID
        $this->id = uniqid();
        // 重建資料庫連接
        $this->pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass');
    }
}
$u2 = unserialize($s);
// $u2->id 為新生成 ID
// $u2->pdo 為新連接

• 反序列化完成後自動調用，**無參數**。
• 用於：重建資源連接、初始化臨時狀態、觸發事件通知、驗證數據完整性。

4. 完整示例：自包含演示

<?php
class User {
    public $name;
    public $id;
    public function __construct() { $this->id = uniqid(); }
    public function __sleep() { return ['name']; }
    public function __wakeup() { $this->id = uniqid(); }
}
$u = new User(); $u->name = "Leon";
$s = serialize($u);
$u2 = unserialize($s);
var_dump($u);  // id: 舊值
var_dump($u2); // id: 新值

5. 版本兼容與演進

• PHP 內部序列化格式跨版本相對穩定，但類結構變更（增減屬性、修改訪問修飾符）可能導致反序列化異常。
• 最佳實踐：在類中定義 const SERIALIZATION_VERSION = 1;，__sleep 返回包含版本，__wakeup 根據版本遷移數據。
• PHP 7.4+ 支持 __serialize()/__unserialize() 新 API，返回關聯數組，更靈活、避免 __sleep 數組順序問題。

6. 安全風險：反序列化漏洞

• 絕不對不可信輸入調用 unserialize()！攻擊者可構造惡意字節流實例化任意類、觸發 __wakeup/__destruct 鏈（POP 鏈）導致 RCE。
• 防護：unserialize($data, ['allowed_classes' => ['User', 'Product']]) 白名單類（PHP 7.0+）。
• 替代方案：使用 JSON (json_encode/decode)、MessagePack、Protocol Buffers 等純數據格式，無代碼執行風險。

7. 現代替代方案對比

總結

__sleep/__wakeup 提供細粒度序列化控制，解決資源屬性持久化難題。但現代架構傾向於**無狀態服務 + 外部存儲 (Redis/DB)**，減少對象序列化依賴。若必須使用，嚴格限制允許類白名單，並考慮遷移至 JSON/igbinary。

1. 上一篇文章： PHP 換行符轉 HTML <br> 標籤：nl2br 替代方案與正則處理換行符差異
2. 下一篇文章： PHP 5.3 命名空間完整指南：語法、導入、別名、嵌套、import、最佳實踐與 PSR-4 關聯

PHP 相關知識

PHP 實現鏈式操作：__call() 魔術方法與返回 $this 的核心模式

PHP 實現鏈式操作：__call() 魔術方法與返回 $t

PHP 6 的未發布之謎：從 PHP 5 到 PHP 7 的演進歷程

那本 2008 年出版的《PHP 6》書，講述了一個從未誕生

PHP 實現靈活可配置的分頁組件（後端邏輯完整版）

PHP 實現靈活可配置的分頁組件（後端邏輯完整版） 分頁是

Dr.com 校園網 Web 端登錄加密算法逆向分析：MD5(pid+密碼+calg) 完整還原

Dr.com 寬帶認證系統 Web 登錄加密邏輯深度解析 D