关于PHP反序列化的笔记

1.面向对象

（1）概念

• 面向对象是一种编程思想和方法，它将程序中的数据和操作数据的方法封装在一起，形成"对象"，并通过对象之间的交互和消息传递来完成程序的功能。面向对象编程强调数据的封装、继承、多态和动态绑定等特性，使得程序具有更好的可扩展性、可维护性和可重用性。

面向对象编程的三个主要特性：

• 封装（Encapsulation）：指将对象的属性和方法封装在一起，使得外部无法直接访问和修改对象的内部状态。通过使用访问控制修饰符（public、private、protected）来限制属性和方法的访问权限，从而实现封装。

• 继承（Inheritance）：指可以创建一个新的类，该类继承了父类的属性和方法，并且可以添加自己的属性和方法。通过继承，可以避免重复编写相似的代码，并且可以实现代码的重用。

• 多态（Polymorphism）：指可以使用一个父类类型的变量来引用不同子类类型的对象，从而实现对不同对象的统一操作。多态可以使得代码更加灵活，具有更好的可扩展性和可维护性。在 PHP 中，多态可以通过实现接口（interface）和使用抽象类（abstract class）来实现。

• 类使用 class 关键字后加上类名定义。

• 类名后的一对大括号({})内可以定义变量和方法。

• 类的变量使用 var 来声明, 变量也可以初始化值。

• 函数定义类似 PHP 函数的定义，但函数只能通过该类及其实例化的对象访问

• 定义类之后，我们用new来创建改类的对象

• 变量 $this 代表自身的对象。 

剩下的参考Runoob.......

2.序列化/反序列化

• 在反序列化之前，要先搞懂什么是PHP序列化:serialize()。
• *序列化是将变量或对象转换成字符串的过程，用于存储或传递 PHP 的值的过程中，同时不丢失其类型和结构*

• PHP反序列化：unserialize()
• 反序列化是将字符串转换成变量或对象的过程
• 网上的例子：通过序列化与反序列化我们可以很方便的在PHP中进行对象的传递。本质上反序列化是没有危害的。但是如果用户对数据可控那就可以利用反序列化构造payload攻击。这样说可能还不是很具体，举个列子比如你网购买一个架子，发货为节省成本，是拆开给你发过去，到你手上，然后给你说明书让你组装，拆开给你这个过程可以说是序列化，你组装的过程就是反序列化

以下是反序列化的一些魔术方法: 

3.三法区别

1.public

 

2.protected

 

extend后showname是子类。

但最后的echo属于外部代码。 

3.private