反序列化的了解

Wake zero day

已于 2024-07-30 18:27:08 修改

阅读量709

点赞数 20

文章标签： php json

于 2024-07-30 18:23:28 首次发布

本文链接：https://blog.csdn.net/2301_79964672/article/details/140801278

版权

前言

序列化

为什么出现反序列化和序列化？

前言

在了解反序列化时，我们需要了解什么是序列化

序列化

序列化是计算机编程中一个重要的概念，它指的是将数据结构或对象状态转换为可以存储或传输的格式的过程。这种格式通常是二进制格式，但也可以是JSON、XML等文本格式。序列化使得数据可以持久化存储到磁盘上，或者通过网络传输到其他计算机。

以php为列

<?php
 $a =new admin();
$b=serialize($a);
echo $b;

 class admin{
    public function __construct(){
        echo "4";

    }
    public function __destruct()
    {
        echo "3";

    }
    public function __toString()//当对象被当作字符串来使用
    {
        return "2";
    }
    public function __wakeup() //在对象被反序列化后，对象激活前被立即使用
    {
        echo "1";
    }
    
    
        
    }

结果为4O:5:"admin":0:{}3

O:5:"admin" 表示这是一个对象，对象的类型是 admin，长度为 5（这通常是指对象的名称长度）。
:0:{} 表示这个对象没有属性。

首尾各种出现4和3是因为构造函数和析构函数的原因

构造函数是一种特殊的方法，用于在创建对象时初始化对象的状态。在面向对象编程中，构造函数通常具有与类名相同的名称，并且没有返回类型。当使用new关键字创建类的新实例时，会自动调用构造函数。就是初始化对象的属性

析构函数是面向对象编程中的一个概念，用于在对象生命周期结束时进行清理工作。当对象不再被使用，需要释放其占用的资源时，如内存、文件句柄、网络连接等，就会调用析构函数。在对象生命结束时候执行结束的状态工作

但我们添加了一个$a的public属性，序列化后原来的"admin":0->"admin":1就变成了1,说明adimin这个类有一个属性1:{s:1:"a";i:5;}后面是说明s:1，其中a属性就占用一个名称，i为其数据类型为整型，且数值为5

在对序列化有一定了解后我们来了解反序列化

反序列化

反序列化是序列化的逆过程，它涉及到将序列化后的数据（通常是存储在文件、数据库或通过网络传输的数据）转换回原始的编程语言数据结构或对象。这个过程可以理解为数据传输时候将数据序列化，然后再次解读其序列化后的数据转换为源数据

<?php
 $a =new admin();
$b=serialize($a);
$c=unserialize($b);
echo $a;

 class admin{
    public $a=5;

    public function __construct(){
        echo "4";

    }
    public function __destruct()
    {
        echo "3";

    }
    public function __toString()//当对象被当作字符串来使用
    {
        return "2";
    }
    public function __wakeup() //在对象被反序列化后，对象激活前被立即使用
    {
        echo "1";
    }
 

    }

unserialize() 会检查是否存在一个 __wakeup() 方法。如果存在，则会先调用 __wakeup 方法，预先准备对象需要的资源而wakeup() 用于在从字符串反序列化为对象时自动调用。一个 PHP 对象被序列化成字符串并存储在文件、数据库或者通过网络传输时，我们可以使用 unserialize() 函数将其反序列化为一个 PHP 对象。在这个过程中，PHP 会自动调用该对象的 __wakeup() 方法，对其进行初始化。

__wakeup() 方法的作用是对一个对象进行一些必要的初始化操作。例如，如果一个对象中包含了一些需要进行身份验证的属性，那么在从字符串反序列化为对象时，就可以在 __wakeup() 方法中进行身份验证。或者如果一个对象中包含了一些需要在每次初始化时计算的属性，也可以在 __wakeup() 方法中进行计算

允许程序恢复之前保存的状态，或者接收从其他系统发送的数据，并将其转换为可用的格式。在__wakeup()方法执行后，其对象被打印执行__toString()方法，最后销毁没被序列化的对象，再次销毁被反序列后的序列化对象，反序列化字符串 $b。这将创建一个新的 admin 类的实例 $c，销毁的是两个实列，从而出现了两个3