当前位置：首页 > PHP

php unserialize 实现

2026-02-28 07:36:49PHP

PHP unserialize 实现

PHP的unserialize函数用于将序列化的字符串转换回PHP值。序列化是一种将数据结构或对象状态转换为可存储或传输的格式的过程，而反序列化则是将这种格式重新转换为原始数据结构或对象。

基本用法

unserialize函数的基本语法如下：

mixed unserialize(string $str, array $options = [])

$str：序列化的字符串。
$options：可选参数，用于控制反序列化的行为。

示例：

$serialized = 'a:2:{i:0;s:5:"apple";i:1;s:6:"banana";}';
$unserialized = unserialize($serialized);
print_r($unserialized);

输出：

Array
(
    [0] => apple
    [1] => banana
)

反序列化对象

当反序列化对象时，PHP会自动调用对象的__wakeup()魔术方法（如果存在）。这可以用于在反序列化后重新初始化对象的某些属性。

示例：

class MyClass {
    public $data;

    public function __wakeup() {
        echo "Object unserialized\n";
    }
}

$serialized = 'O:7:"MyClass":1:{s:4:"data";s:5:"hello";}';
$obj = unserialize($serialized);
echo $obj->data;

输出：

Object unserialized
hello

安全性注意事项

反序列化用户提供的字符串可能存在安全风险，尤其是当反序列化的数据包含恶意对象时。攻击者可能利用反序列化漏洞执行任意代码。

安全建议：

避免反序列化不可信的输入。
使用allowed_classes选项限制可反序列化的类。
对序列化数据进行签名或加密，确保其完整性。

示例：

$serialized = 'O:7:"MyClass":1:{s:4:"data";s:5:"hello";}';
$unserialized = unserialize($serialized, ['allowed_classes' => ['MyClass']]);

处理错误

unserialize在失败时会返回false并可能产生E_NOTICE错误。可以通过检查返回值或使用@抑制错误。

示例：

$serialized = 'invalid data';
$result = @unserialize($serialized);
if ($result === false) {
    echo "Failed to unserialize data";
}

自定义序列化

如果需要对对象的序列化和反序列化过程进行更细粒度的控制，可以实现Serializable接口。

示例：

class MyClass implements Serializable {
    private $data;

    public function serialize() {
        return serialize($this->data);
    }

    public function unserialize($serialized) {
        $this->data = unserialize($serialized);
    }
}

$obj = new MyClass();
$serialized = serialize($obj);
$unserialized = unserialize($serialized);

通过以上方法，可以灵活地使用unserialize函数处理序列化数据，同时注意安全性和错误处理。

php unserialize 实现