PHP中序列化與反序列化的原理是什么

這篇文章給大家介紹PHP中序列化與反序列化的原理是什么，內容非常詳細，感興趣的小伙伴們可以參考借鑒，希望對大家能有所幫助。

1.序列化serialize和反序列化方法unserialize

php原生提供了對象序列化功能,不像c++ ……^_^. 用起來也非常簡單,就兩個接口.

class fobnn
{
 public $hack_id;
 private $hack_name;
 public function __construct($name,$id)
 {
  $this->hack_name = $name;
  $this->hack_id = $id;
 }
 public function print()
 {
  echo $this->hack_name.PHP_EOL;
 }
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj); //通過serialize接口序列化
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);//通過unserialize反序列化
$toobj->print();

fobnn
O:5:"fobnn":2:{s:7:"hack_id";i:1;s:16:"fobnnhack_name";s:5:"fobnn";}
fobnn

看到第二行的輸出,這個字符串就是序列化的結果,這個結構其實很容讀懂,可以發現是通過對象名稱/成員名稱來映射的,當然不同訪問權限的成員序列化之后的標簽名稱略有不同.

根據我上面講到的3個問題,那么我們可以來看看

1.自描述功能

O:5:"fobnn":2 其中o就表示了object類型,且類型名稱為fobnn, 采用這種格式,后面的2表示了有2個成員對象.

關于成員對象,其實也是同一套子描述,這是一個遞歸的定義.

自描述的功能主要是通過字符串記錄對象和成員的名稱來實現.

2.性能問題

php序列化的時間性能本文就不分析了,詳見后面,但序列化結果其實類似json/bson定義的協議,有協議頭,協議頭說明了類型,協議體則說明了類型所對應的值,并不會對序列化結果進行壓縮.

2.反序列化中的魔術方法

對應上述說的第二個問題,其實php中也有解決方法,一種是通過魔術方法,第二種則是自定義序列化函數.先來介紹下魔術方法 __sleep和__wakeup

class fobnn
{
 public $hack_id;
 private $hack_name;
 public function __construct($name,$id)
 {
  $this->hack_name = $name;
  $this->hack_id = $id;
 }
 public function print()
 {
  echo $this->hack_name.PHP_EOL;
 }
 public function __sleep()
 {
  return array("hack_name");
 }
 public function __wakeup()
 {
  $this->hack_name = 'haha';
 }
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();

fobnn
O:5:"fobnn":1:{s:16:"fobnnhack_name";s:5:"fobnn";}
haha

在序列化之前會先調用__sleep返回的是一個需要序列化的成員名稱數組,通過這樣我們就可以控制需要序列化的數據,案例中我只返回了hack_name,可以看到結果中只序列化了hack_name成員.

在序列化完成之后,會跳用__wakeup 在這里我們可以做一些后續工作,例如重連數據庫之類的.

3.自定義Serializable接口

interface Serializable {
abstract public string serialize ( void )
abstract public void unserialize ( string $serialized )
}

通過這個接口我們可以自定義序列化和反序列化的行為,這個功能主要可以用來自定義我們的序列化格式.

class fobnn implements Serializable
{
 public $hack_id;
 private $hack_name;
 public function __construct($name,$id)
 {
  $this->hack_name = $name;
  $this->hack_id = $id;
 }
 public function print()
 {
  echo $this->hack_name.PHP_EOL;
 }

 public function __sleep()
 {
  return array('hack_name');
 }

 public function __wakeup()
 {
  $this->hack_name = 'haha';
 }

 public function serialize()
 {
  return json_encode(array('id' => $this->hack_id ,'name'=>$this->hack_name ));
 }

 public function unserialize($var)
 {
  $array = json_decode($var,true);
  $this->hack_name = $array['name'];
  $this->hack_id = $array['id'];
 }
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();

fobnn
C:5:"fobnn":23:{{"id":1,"name":"fobnn"}}
fobnn

當使用了自定義序列化接口之后,我們的魔術方法就沒用了.

4.PHP動態類型和PHP反序列化

既然上文中提到的自描述功能,那么序列化結果中保存了對象的類型,且php是動態類型語言,那么我們就可以來做個簡單的實驗.

class fobnn
{
 public $hack_id;
 public $hack_name;
 public function __construct($name,$id)
 {
  $this->hack_name = $name;
  $this->hack_id = $id;
 }
 public function print()
 {
  var_dump($this->hack_name);
 }
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();
$toobj2 = unserialize("O:5:\"fobnn\":2:{s:7:\"hack_id\";i:1;s:9:\"hack_name\";i:12345;}");
$toobj2->print();

我們修改hack_name反序列化的結果為int類型, i:12345

string(5) "fobnn"
O:5:"fobnn":2:{s:7:"hack_id";i:1;s:9:"hack_name";s:5:"fobnn";}
string(5) "fobnn"
int(12345)

可以發現,對象成功序列化回來了!并且可以正常工作!. 當然php的這種機制提供了靈活多變的語法,但也引入了安全風險. 后續繼續分析php序列化和反序列化特性帶來的安全問題.

關于PHP中序列化與反序列化的原理是什么就分享到這里了，希望以上內容可以對大家有一定的幫助，可以學到更多知識。如果覺得文章不錯，可以把它分享出去讓更多的人看到。