------已搬运-------关于GET方式传入PHP反序列化的字符串时private和protected的注意点

最新推荐文章于 2025-01-15 18:45:31 发布

Zero_Adam

最新推荐文章于 2025-01-15 18:45:31 发布

阅读量977

点赞数

文章标签： php 安全

本文链接：https://blog.csdn.net/Zero_Adam/article/details/113145854

版权

本文探讨了在PHP中通过GET方式传递反序列化字符串时，处理private和protected属性的注意事项。作者对比了PHP 5.4.45和7.1.13版本的不同行为，发现空格通常是表示不可见字符的最佳选择，而在某些情况下，%00或%20也可用于表示。总结建议，在不需要base64编码时，使用空格代替不可见字符。

摘要由CSDN通过智能技术生成

一、2021.2.16补充：当时没有深入研究，这次研究一下：

关于那个private。protected的不可见字符问题，序列化好说。那么反序列化呢。你反序列化的时候，提交的字符串，怎么表示不可见字符呢

这着实是一个问题啊。。。

我总共试了两个版本的PHP一个是5.4.45另一个是7.1.13

这里先只讨论私有属性 private这个东西：

1. PHP7.1.13情况下的：

先说一个有趣的事件：

var_dump(serialize($a));//string(48) "O:6:"people":1:{s:12:"\000people\000name";s:4:"adam";}"
echo (serialize($a));//O:6:"people":1:{s:12:" people name";s:4:"adam";}