PHP反序列化漏洞与php unsleep，如何安全地使用它？

发布日期： 2025-10-03 阅读量： 作者： admin

今天就来聊聊PHP里那个 `unserialize()` 函数，这玩意儿我算是踩过坑，也好好琢磨过一阵子。

起初，我接触到这东西是因为要做一个功能，需要把一些用户的设置或者临时的复杂数据存起来，下次用户回来还能接着用。当时觉得PHP自带的 `serialize()` 和 `unserialize()` 挺方便的，唰唰两下，一个数组或者对象就变成字符串存数据库或者文件里了，要用的时候再 `unserialize()` 一下，又变回来了，多省事。

一开始用得挺顺手

刚开始用的时候，确实感觉效率很高。比如存个用户的配置，里面可能有各种嵌套的数组，用 `serialize()` 处理一下，变成一个长字符串，直接丢缓存或者数据库某个字段里。取出来的时候，`unserialize()` 一下，原来的数据结构就完美还原了，代码写起来也简单。

把一个包含用户主题、字体大小、偏好布局的数组 `serialize()` 成字符串。
把这个字符串存到数据库的用户信息表里。
用户下次登录，读取这个字符串。
用 `unserialize()` 把它还原成数组，然后应用这些设置。

看起来一切都很美对？当时我也是这么觉得的。

后来怎么发现不对劲了

转折点是有一次看别人的代码，还有就是看一些安全方面的文章。发现很多人都在强调 `unserialize()` 的风险，说它能搞出大事情。我当时就有点懵，一个简单的还原数据的功能，能有多危险？

本着实践出真知的想法，我就自己动手试了试。不试不知道，一试吓一跳。

我了解到，`unserialize()` 不光是还原数据，如果序列化的字符串里包含了一个特殊构造的对象，那么在反序列化的时候，PHP会自动调用这个对象里面的一些“魔术方法”，比如 `__wakeup()` 或者 `__destruct()` 这些。

这就意味着，如果这个序列化的字符串是外面传进来的，是不可信的，那别人就可以构造一个恶意的字符串，里面放一个他自己想要的对象。等我的代码一执行 `unserialize()`，他那个对象的魔术方法就可能被触发了。

做了些啥测试

为了搞清楚，我就自己写了个简单的类：

class TestMe {


public $file = '*';
function __wakeup() {
// 假设这里做了一些危险操作，比如写文件
file_put_contents($this->file, 'Wake up executed!');
echo "I woke up and did something!";

然后我先创建一个这个类的实例，用 `serialize()` 把它变成字符串：

$obj = new TestMe();


$serialized_str = serialize($obj);
// $serialized_str 大概是像这样 'O:6:"TestMe":1:{s:4:"file";s:8:"*";}'

我假装这个 `$serialized_str` 是从一个不靠谱的地方（比如用户提交的表单）拿到的，然后用 `unserialize()` 去处理它：

$potentially_malicious_input = 'O:6:"TestMe":1:{s:4:"file";s:18:"../config/*";}'; // 故意改一下文件名


$restored_obj = unserialize($potentially_malicious_input);

结果？当 `unserialize()` 执行的时候，那个 `__wakeup()` 方法真的被调用了！虽然我上面例子里只是简单 `echo` 和写文件，但如果这个魔术方法里面包含删除文件、执行代码或者连接数据库之类的操作，那后果就不堪设想了。特别是如果能控制类里面的属性（就像我上面改了 `file` 属性那样），就能指向任意文件，或者构造更复杂的攻击。

实践后的体会

经过这么一折腾，我算是彻底明白了为啥都说 `unserialize()` 危险了。关键在于：绝对不能对来源不可信的数据使用 `unserialize()`。

后来我的实践原则就变了：

优先选用更安全的数据格式：比如 JSON。用 `json_encode()` 和 `json_decode()`，它们默认不会执行代码，相对安全多了。虽然 `json_decode()` 也能转对象，但它不会触发那些复杂的魔术方法。
如果非用 `unserialize()` 不可：比如兼容老系统，那也得加十二分的小心。PHP 7 之后 `unserialize()` 多了个 `options` 参数，可以指定允许反序列化的类 (`allowed_classes`)，算是一种缓解措施。至少可以限制一下能被实例化的对象类型。但这还是不能完全保证安全，最好的办法还是从源头上避免反序列化不可信数据。
严格验证输入：任何外部传过来的准备要反序列化的数据，都要经过严格的检查和过滤，但这很难做到完美。

`unserialize()` 这个函数，用起来方便是方便，但背后的水很深。自从我亲手试过它的“威力”之后，现在看到需要处理序列化数据的代码，都会特别警惕，先问一句：这数据哪来的？可靠吗？

分享这点实践记录，希望能给大家提个醒。安全无小事，别因为图一时方便，给系统留下个大窟窿。

上一篇: 便宜vps国内服务器推荐，高性价比服务器都在这！

PHP反序列化漏洞与php unsleep，如何安全地使用它？

随便看看