詳解PHP序列化和反序列化原理
0.前言
對(duì)象的序列化和反序列化作用就不再贅述,php中序列化的結(jié)果是一個(gè)php自定義的字符串格式,有點(diǎn)類似json.
我們?cè)谌魏握Z(yǔ)言中設(shè)計(jì)對(duì)象的序列化和反序列化都需要解決幾個(gè)問題
把某個(gè)對(duì)象序列化之后,序列化的結(jié)果有自描述的功能(從序列化的結(jié)果中知道這個(gè)對(duì)象的具體類型,
知道類型還不夠,當(dāng)然還需要知道這個(gè)類型所對(duì)應(yīng)具體的值).
序列化時(shí)的權(quán)限控制,可以自定義序列化字段等,例如golang中的做的就非常方便.
時(shí)間性能問題:在某些性能敏感的場(chǎng)景下,對(duì)象序列化就不能拖后腿,例如:高性能服務(wù)(我經(jīng)常使用protobuf來(lái)序列化).
空間性能問題:序列化之后的結(jié)果不能太長(zhǎng),比如內(nèi)存中一個(gè)int對(duì)象,序列化之后數(shù)據(jù)長(zhǎng)度變成了10倍int的長(zhǎng)度,那這個(gè)序列化算法是有問題的.
本文僅僅從php代碼角度來(lái)解釋php中序列化和反序列化的過程.,記住一點(diǎn)序列化和反序列化操作的僅僅是對(duì)象的數(shù)據(jù),這一點(diǎn)有面向?qū)ο箝_發(fā)經(jīng)驗(yàn)的都應(yīng)該容易理解.
1.序列化serialize和反序列化方法unserialize
php原生提供了對(duì)象序列化功能,不像c++ ……^_^. 用起來(lái)也非常簡(jiǎn)單,就兩個(gè)接口.
class fobnn
{
public $hack_id;
private $hack_name;
public function __construct($name,$id)
{
$this->hack_name = $name;
$this->hack_id = $id;
}
public function print()
{
echo $this->hack_name.PHP_EOL;
}
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj); //通過serialize接口序列化
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);//通過unserialize反序列化
$toobj->print();
fobnn
O:5:"fobnn":2:{s:7:"hack_id";i:1;s:16:"fobnnhack_name";s:5:"fobnn";}
fobnn
看到第二行的輸出,這個(gè)字符串就是序列化的結(jié)果,這個(gè)結(jié)構(gòu)其實(shí)很容讀懂,可以發(fā)現(xiàn)是通過對(duì)象名稱/成員名稱來(lái)映射的,當(dāng)然不同訪問權(quán)限的成員序列化之后的標(biāo)簽名稱略有不同.
根據(jù)我上面講到的3個(gè)問題,那么我們可以來(lái)看看
1.自描述功能
O:5:"fobnn":2 其中o就表示了object類型,且類型名稱為fobnn, 采用這種格式,后面的2表示了有2個(gè)成員對(duì)象.
關(guān)于成員對(duì)象,其實(shí)也是同一套子描述,這是一個(gè)遞歸的定義.
自描述的功能主要是通過字符串記錄對(duì)象和成員的名稱來(lái)實(shí)現(xiàn).
2.性能問題
php序列化的時(shí)間性能本文就不分析了,詳見后面,但序列化結(jié)果其實(shí)類似json/bson定義的協(xié)議,有協(xié)議頭,協(xié)議頭說(shuō)明了類型,協(xié)議體則說(shuō)明了類型所對(duì)應(yīng)的值,并不會(huì)對(duì)序列化結(jié)果進(jìn)行壓縮.
2.反序列化中的魔術(shù)方法
對(duì)應(yīng)上述說(shuō)的第二個(gè)問題,其實(shí)php中也有解決方法,一種是通過魔術(shù)方法,第二種則是自定義序列化函數(shù).先來(lái)介紹下魔術(shù)方法 __sleep和__wakeup
class fobnn
{
public $hack_id;
private $hack_name;
public function __construct($name,$id)
{
$this->hack_name = $name;
$this->hack_id = $id;
}
public function print()
{
echo $this->hack_name.PHP_EOL;
}
public function __sleep()
{
return array("hack_name");
}
public function __wakeup()
{
$this->hack_name = 'haha';
}
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();
fobnn
O:5:"fobnn":1:{s:16:"fobnnhack_name";s:5:"fobnn";}
haha
在序列化之前會(huì)先調(diào)用__sleep返回的是一個(gè)需要序列化的成員名稱數(shù)組,通過這樣我們就可以控制需要序列化的數(shù)據(jù),案例中我只返回了hack_name,可以看到結(jié)果中只序列化了hack_name成員.
在序列化完成之后,會(huì)跳用__wakeup 在這里我們可以做一些后續(xù)工作,例如重連數(shù)據(jù)庫(kù)之類的.
3.自定義Serializable接口
interface Serializable {
abstract public string serialize ( void )
abstract public void unserialize ( string $serialized )
}
通過這個(gè)接口我們可以自定義序列化和反序列化的行為,這個(gè)功能主要可以用來(lái)自定義我們的序列化格式.
class fobnn implements Serializable
{
public $hack_id;
private $hack_name;
public function __construct($name,$id)
{
$this->hack_name = $name;
$this->hack_id = $id;
}
public function print()
{
echo $this->hack_name.PHP_EOL;
}
public function __sleep()
{
return array('hack_name');
}
public function __wakeup()
{
$this->hack_name = 'haha';
}
public function serialize()
{
return json_encode(array('id' => $this->hack_id ,'name'=>$this->hack_name ));
}
public function unserialize($var)
{
$array = json_decode($var,true);
$this->hack_name = $array['name'];
$this->hack_id = $array['id'];
}
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();
fobnn
C:5:"fobnn":23:{{"id":1,"name":"fobnn"}}
fobnn
當(dāng)使用了自定義序列化接口之后,我們的魔術(shù)方法就沒用了.
4.PHP動(dòng)態(tài)類型和PHP反序列化
既然上文中提到的自描述功能,那么序列化結(jié)果中保存了對(duì)象的類型,且php是動(dòng)態(tài)類型語(yǔ)言,那么我們就可以來(lái)做個(gè)簡(jiǎn)單的實(shí)驗(yàn).
class fobnn
{
public $hack_id;
public $hack_name;
public function __construct($name,$id)
{
$this->hack_name = $name;
$this->hack_id = $id;
}
public function print()
{
var_dump($this->hack_name);
}
}
$obj = new fobnn('fobnn',1);
$obj->print();
$serializedstr = serialize($obj);
echo $serializedstr.PHP_EOL;;
$toobj = unserialize($serializedstr);
$toobj->print();
$toobj2 = unserialize("O:5:\"fobnn\":2:{s:7:\"hack_id\";i:1;s:9:\"hack_name\";i:12345;}");
$toobj2->print();
我們修改hack_name反序列化的結(jié)果為int類型, i:12345
string(5) "fobnn"
O:5:"fobnn":2:{s:7:"hack_id";i:1;s:9:"hack_name";s:5:"fobnn";}
string(5) "fobnn"
int(12345)
可以發(fā)現(xiàn),對(duì)象成功序列化回來(lái)了!并且可以正常工作!. 當(dāng)然php的這種機(jī)制提供了靈活多變的語(yǔ)法,但也引入了安全風(fēng)險(xiǎn). 后續(xù)繼續(xù)分析php序列化和反序列化特性帶來(lái)的安全問題.
以上就是我們整理的關(guān)于PHP序列化和反序列化原理的全部知識(shí)內(nèi)容，感謝你對(duì)腳本之家的支持。
相關(guān)文章
使用NetBeans + Xdebug調(diào)試PHP程序的方法
前些天發(fā)現(xiàn)通過Notepad++的DBGP插件結(jié)合PHP的xdebug擴(kuò)展可以實(shí)現(xiàn)PHP文件調(diào)試，同時(shí)，介紹說(shuō)包含了單步調(diào)試、監(jiān)視變量還有跨文件調(diào)試。2011-04-04
phar繞過phar與HALT實(shí)現(xiàn)文件上傳功能
這篇文章主要介紹了phar繞過phar與HALT實(shí)現(xiàn)文件上傳功能，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)吧2022-12-12
PHP提取數(shù)據(jù)庫(kù)內(nèi)容中的圖片地址并循環(huán)輸出
PHP利用正則提取數(shù)據(jù)庫(kù)內(nèi)容中的圖片地址循環(huán)輸出的實(shí)現(xiàn)代碼。2010-03-03
這篇文章主要介紹了php+curl 發(fā)送圖片處理代碼分享的方法的相關(guān)資料,需要的朋友可以參考下2015-07-07
這篇文章主要介紹了PHP完全二叉樹定義與實(shí)現(xiàn)方法,簡(jiǎn)單描述了完全二叉樹的概念并結(jié)合實(shí)例形式給出了完全二叉樹的定義、節(jié)點(diǎn)查找、添加、設(shè)置、打印等相關(guān)操作技巧,需要的朋友可以參考下2017-10-10
這篇文章介紹了php獲得當(dāng)前的腳本網(wǎng)址的方法,通過php服務(wù)器變量$_SERVER的簡(jiǎn)單判斷、轉(zhuǎn)換與輸出,實(shí)現(xiàn)獲取當(dāng)前網(wǎng)址的功能,需要的朋友可以參考一下2007-12-12
淺析PHP遞歸函數(shù)返回值使用方法，需要的朋友可以參考一下2013-02-02
PHP實(shí)現(xiàn)過濾各種HTML標(biāo)簽
在做項(xiàng)目的過程中，我們經(jīng)常需要用到過濾一些html標(biāo)簽來(lái)實(shí)現(xiàn)提高數(shù)據(jù)的安全性，其實(shí)就是刪除那些對(duì)應(yīng)用程序有潛在危害的數(shù)據(jù)。它用于去除標(biāo)簽以及刪除或編碼不需要的字符。2015-05-05
dedecms中常見問題修改方法總結(jié)...2007-03-03
有的時(shí)候網(wǎng)站緩存文件夾里生成的臨時(shí)文件越來(lái)越多，而長(zhǎng)時(shí)間不清理就會(huì)造成文件夾下有上萬(wàn)個(gè)緩存文件，可能會(huì)使ftp工具多無(wú)法進(jìn)入其文件夾。使臨時(shí)文件無(wú)法刪除2013-01-01