异常教程

PHP serialize() 函数（保姆级教程）

更新时间:

💡一则或许对你有用的小广告

欢迎加入小哈的星球 ，你将获得：专属的项目实战 / 1v1 提问 / Java 学习路线 / 学习打卡 / 每月赠书 / 社群讨论

  • 新项目:《从零手撸：仿小红书（微服务架构）》 正在持续爆肝中，基于 Spring Cloud Alibaba + Spring Boot 3.x + JDK 17...，点击查看项目介绍 ;
  • 《从零手撸：前后端分离博客项目（全栈开发）》 2 期已完结，演示链接： http://116.62.199.48/ ;

截止目前， 星球 内专栏累计输出 82w+ 字，讲解图 3441+ 张，还在持续爆肝中.. 后续还会上新更多项目，目标是将 Java 领域典型的项目都整一波，如秒杀系统, 在线商城, IM 即时通讯，权限管理，Spring Cloud Alibaba 微服务等等，已有 2900+ 小伙伴加入学习 ，欢迎点击围观

在 PHP 开发中，数据持久化和传输是核心需求之一。无论是存储用户会话信息、缓存查询结果，还是在不同系统间交换数据，都需要一种高效的方式将复杂数据结构转换为可存储或传输的格式。此时，PHP serialize() 函数 就成为了一个不可或缺的工具。它能将 PHP 的任意变量（包括数组、对象等）转换为字符串，并通过 unserialize() 函数还原。本文将从基础概念到实战案例，逐步解析这一函数的原理、使用技巧及注意事项，帮助开发者快速掌握其核心价值。

一、序列化的基础概念与核心作用

什么是序列化？

序列化（Serialization） 是将复杂数据结构（如对象、数组）转换为一维字符串的过程，类似于将快递包裹中的物品拆解并打包成一个整体。这个过程允许数据在存储（如文件、数据库）或传输（如网络通信）时保持完整性。

在 PHP 中，serialize() 函数负责执行这一操作，而 unserialize() 则用于反向操作（即反序列化）。两者的配合，使得开发者能够灵活地处理数据的持久化需求。

序列化的应用场景

  • 会话管理：PHP 的 $_SESSION 内置机制依赖序列化，将用户数据存储到服务器端。
  • 缓存优化：将频繁使用的查询结果序列化后写入文件或数据库，减少重复计算。
  • API 数据传输：将对象或数组转换为字符串后，通过 HTTP 请求传递给前端或第三方服务。

二、PHP serialize() 函数的语法与基本用法

函数语法

string serialize(mixed $value)
  • 参数：$value 可以是 PHP 的任意变量（如标量、数组、对象）。
  • 返回值：序列化后的字符串，若输入非标量值（如资源），将返回 false。

基础案例：序列化标量与数组

// 标量数据  
$scalar = 42;  
$serialized_scalar = serialize($scalar);  
// 输出：i:42;  

// 多维数组  
$array = [  
    "name" => "Alice",  
    "scores" => [90, 85, 95]  
];  
$serialized_array = serialize($array);  
// 输出：a:2:{s:4:"name";s:5:"Alice";s:6:"scores";a:3:{i:0;i:90;i:1;i:85;i:2;i:95;}}

输出解析：

  • a:2 表示这是一个包含 2 个元素的数组。
  • s:4:"name" 表示键名是长度为 4 的字符串 "name"。
  • 数字 i:42 直接以整数格式存储。

三、处理复杂数据结构：对象的序列化

对象序列化的核心机制

PHP 对象序列化时，默认会记录类名、所有属性（包括私有和受保护的）及其值。但需注意以下两点：

  1. 类必须存在：反序列化时，若类定义未加载，会抛出 Fatal error。
  2. 自定义控制：通过魔术方法 __sleep() 和 __wakeup()，可以筛选需序列化的属性或执行额外操作。

案例：对象的序列化与反序列化

class User {  
    private $id;  
    public $name;  
    public $email;  

    public function __construct($id, $name, $email) {  
        $this->id = $id;  
        $this->name = $name;  
        $this->email = $email;  
    }  

    // 反序列化时触发  
    public function __wakeup() {  
        echo "对象已恢复！";  
    }  

    // 序列化前筛选属性  
    public function __sleep() {  
        return ['id', 'name']; // 排除 email 属性  
    }  
}  

$user = new User(1, "Bob", "bob@example.com");  
$serialized_user = serialize($user);  
// 输出：O:4:"User":2:{s:2:"id";i:1;s:4:"name";s:3:"Bob";}  

// 反序列化  
$unserialized_user = unserialize($serialized_user);  
// 输出：对象已恢复！  
var_dump($unserialized_user->email); // 输出 NULL（因被排除）

四、实际应用场景与代码示例

案例 1：会话数据存储

PHP 的 $_SESSION 内置变量会自动序列化存储的值。例如：

session_start();  
$_SESSION['user'] = new User(2, "Charlie", "charlie@example.com");  
// 此时 session 文件中存储的即为序列化后的对象字符串

案例 2：缓存查询结果

function get_cached_data($cache_key) {  
    $cache_file = "cache/$cache_key.txt";  
    if (file_exists($cache_file)) {  
        $data = unserialize(file_get_contents($cache_file));  
        return $data;  
    }  
    // 若无缓存，执行耗时查询并保存  
    $data = perform_expensive_query();  
    file_put_contents($cache_file, serialize($data));  
    return $data;  
}

五、安全注意事项与反序列化漏洞

反序列化的潜在风险

由于 unserialize() 会直接还原数据结构，若传入未经验证的用户输入，可能导致 反序列化漏洞。攻击者可能构造恶意对象，触发代码执行（如调用危险方法）。

漏洞示例：危险的 __destruct() 方法

class Exploit {  
    public $cmd;  

    public function __destruct() {  
        system($this->cmd); // 执行任意命令  
    }  
}  

// 攻击者构造的恶意数据  
$evil_data = "O:7:\"Exploit\":1:{s:3:\"cmd\";s:8:\"id > /tmp/exploit.txt\";}";  
unserialize($evil_data); // 将执行 `id` 命令并保存输出

防范措施

  1. 避免反序列化用户输入：若必须使用，需严格验证数据格式。
  2. 自定义安全类：在对象中覆盖 __wakeup() 或 __destruct()，阻止恶意操作。
  3. 使用安全替代方案：如 JSON 或 MessagePack，它们的反序列化过程更安全。

六、与 JSON 的对比：何时选择 serialize()？

JSON 的优势

  • 跨语言兼容性：JavaScript、Python 等语言原生支持。
  • 可读性强：{"name": "Alice", "age": 30} 明显优于 serialize() 的二进制字符串。

serialize() 的独特价值

  • 支持 PHP 对象：JSON 无法直接序列化对象，需手动转换。
  • 更紧凑的格式：对于复杂嵌套结构，序列化字符串可能更短。

对比案例

// 对象序列化  
$obj = new stdClass();  
$obj->name = "Dave";  
var_dump(json_encode($obj)); // 输出：{"name":"Dave"}  
var_dump(serialize($obj)); // 输出：O:8:"stdClass":1:{s:4:"name";s:4:"Dave";}

结论

PHP serialize() 函数 是开发者工具箱中的重要成员，它通过将复杂数据转换为字符串，解决了存储与传输的核心挑战。然而，其强大功能也伴随着安全风险，开发者需谨慎处理用户输入并合理设计对象逻辑。无论是优化会话管理、实现高效缓存，还是探索对象持久化，理解这一函数的原理与最佳实践，将显著提升开发效率与代码安全性。

建议读者通过实际项目尝试序列化与反序列化操作，并结合 __sleep() 等魔术方法，探索更灵活的数据控制方式。记住：在享受序列化带来的便利时，安全防护永远是不可忽视的一环。

最新发布

查看更多文章