PHP `__serialize`与`__unserialize`：自定义序列化

好的，各位观众老爷们，欢迎来到今天的PHP魔法课堂！🧙‍♂️ 今天我们要聊的，是PHP里两个略显神秘，但却威力无穷的魔法咒语：__serialize 和 __unserialize。

别害怕，虽然名字听起来像科幻电影里的什么秘密武器，但它们的作用其实很简单：自定义对象的序列化和反序列化。

什么是序列化和反序列化？

想象一下，你辛辛苦苦建造了一个精美的乐高城堡🏰，现在你想把这个城堡通过网络发送给远方的朋友。直接把城堡拆了打包寄过去？太暴力了！而且你的朋友收到一堆零件，还得重新组装，多麻烦！

序列化就像是给你的乐高城堡拍一张高清照片📸，然后把这张照片发送给你的朋友。朋友收到照片后，可以通过反序列化，根据照片上的信息，完美地重建出你的乐高城堡。

在PHP的世界里，序列化就是将一个复杂的对象转换成一个字符串，这个字符串可以被存储到数据库、发送到网络、或者保存到文件中。反序列化则是将这个字符串重新还原成原来的对象。

为什么要自定义序列化？

PHP自带的 serialize() 和 unserialize() 函数已经很强大了，为什么还要自定义呢？原因有很多，就像每个巫师都有自己的独门秘籍一样：

• 隐藏秘密： 有些对象的属性包含敏感信息，比如密码、API密钥等。你肯定不想把这些信息直接暴露在序列化的字符串里。通过 __serialize，你可以选择性地序列化某些属性，或者对敏感信息进行加密。
• 优化性能： 有些对象的属性非常庞大，比如一个包含大量图像数据的对象。如果把这些数据全部序列化，会大大增加序列化字符串的大小，影响传输速度。通过 __serialize，你可以只序列化必要的信息，或者使用更高效的数据压缩算法。
• 处理复杂依赖： 有些对象依赖于其他的资源，比如数据库连接、文件句柄等。这些资源是不能被直接序列化的。通过 __serialize，你可以保存这些资源的引用，并在反序列化时重新建立连接。
• 版本控制： 当你的类结构发生变化时，之前的序列化字符串可能无法被正确地反序列化。通过 __serialize 和 __unserialize，你可以编写兼容不同版本的序列化逻辑。

__serialize 和 __unserialize 的基本用法

现在，让我们来学习如何使用这两个魔法咒语。

• __serialize： 这个方法会在对象被序列化时自动调用。它必须返回一个包含要序列化的数据的数组。
• __unserialize： 这个方法会在对象被反序列化时自动调用。它接收一个包含序列化数据的数组，并负责将这些数据还原到对象中。

一个简单的例子

假设我们有一个 User 类，包含 id、username 和 email 三个属性。

class User {
  public $id;
  public $username;
  private $email; // 隐藏 email 属性

  public function __construct($id, $username, $email) {
    $this->id = $id;
    $this->username = $username;
    $this->email = $email;
  }

  public function __serialize(): array {
    return [
      'id' => $this->id,
      'username' => $this->username,
      // 不序列化 email 属性
    ];
  }

  public function __unserialize(array $data): void {
    $this->id = $data['id'];
    $this->username = $data['username'];
    // 反序列化时，email 属性保持为空
    $this->email = null;
  }

  public function getEmail() {
      return $this->email;
  }
}

$user = new User(1, 'john_doe', '[email protected]');
$serialized = serialize($user);

echo "Serialized User: " . $serialized . "n";

$unserialized = unserialize($serialized);

echo "Unserialized User ID: " . $unserialized->id . "n";
echo "Unserialized User Username: " . $unserialized->username . "n";
echo "Unserialized User Email: " . ($unserialized->getEmail() ? $unserialized->getEmail() : 'Email Hidden') . "n";

在这个例子中，我们只序列化了 id 和 username 属性，而忽略了 email 属性。在反序列化时，email 属性会被设置为 null。

进阶技巧：加密敏感数据

为了更安全地处理敏感数据，我们可以使用加密算法。

class User {
  public $id;
  public $username;
  private $email;
  private $encryptionKey = "superSecretKey"; //密钥

  public function __construct($id, $username, $email) {
    $this->id = $id;
    $this->username = $username;
    $this->email = $email;
  }

  public function __serialize(): array {
    $encryptedEmail = openssl_encrypt($this->email, 'aes-256-cbc', $this->encryptionKey, 0, '1234567890123456');
    return [
      'id' => $this->id,
      'username' => $this->username,
      'encrypted_email' => $encryptedEmail
    ];
  }

  public function __unserialize(array $data): void {
    $this->id = $data['id'];
    $this->username = $data['username'];
    $this->email = openssl_decrypt($data['encrypted_email'], 'aes-256-cbc', $this->encryptionKey, 0, '1234567890123456');
  }

  public function getEmail() {
      return $this->email;
  }
}

$user = new User(1, 'john_doe', '[email protected]');
$serialized = serialize($user);

echo "Serialized User: " . $serialized . "n";

$unserialized = unserialize($serialized);

echo "Unserialized User ID: " . $unserialized->id . "n";
echo "Unserialized User Username: " . $unserialized->username . "n";
echo "Unserialized User Email: " . $unserialized->getEmail() . "n";

在这个例子中，我们在序列化时使用 openssl_encrypt 函数对 email 属性进行加密，并在反序列化时使用 openssl_decrypt 函数进行解密。 注意： 实际应用中，密钥应该更加安全地存储，并且使用更强大的加密算法。

处理复杂依赖：数据库连接

如果你的对象依赖于数据库连接，你需要保存连接的信息，并在反序列化时重新建立连接。

class DatabaseConnection {
  private $host;
  private $username;
  private $password;
  private $connection;

  public function __construct($host, $username, $password) {
    $this->host = $host;
    $this->username = $username;
    $this->password = $password;
    $this->connect();
  }

  private function connect() {
    $this->connection = new PDO("mysql:host=$this->host", $this->username, $this->password);
  }

  public function __serialize(): array {
    return [
      'host' => $this->host,
      'username' => $this->username,
      'password' => $this->password,
    ];
  }

  public function __unserialize(array $data): void {
    $this->host = $data['host'];
    $this->username = $data['username'];
    $this->password = $data['password'];
    $this->connect(); // 重新建立连接
  }

  public function query($sql) {
    return $this->connection->query($sql);
  }

  public function getConnection(){
    return $this->connection;
  }
}

$db = new DatabaseConnection('localhost', 'root', 'password');
$serialized = serialize($db);

echo "Serialized DatabaseConnection: " . $serialized . "n";

$unserialized = unserialize($serialized);

// 测试连接
$result = $unserialized->query("SELECT 1");
print_r($result);
print_r($unserialized->getConnection());

在这个例子中，我们只序列化了数据库连接的信息（主机、用户名、密码），而没有序列化实际的连接对象。在反序列化时，我们根据这些信息重新建立连接。

版本控制：兼容旧版本

当你的类结构发生变化时，你可能需要编写兼容旧版本的序列化逻辑。

class User {
  public $id;
  public $username;
  private $email;
  private $version = 2; // 当前版本号

  public function __construct($id, $username, $email) {
    $this->id = $id;
    $this->username = $username;
    $this->email = $email;
  }

  public function __serialize(): array {
    return [
      'version' => $this->version,
      'id' => $this->id,
      'username' => $this->username,
      'email' => $this->email,
    ];
  }

  public function __unserialize(array $data): void {
    $version = $data['version'] ?? 1; // 默认版本号为 1

    if ($version === 1) {
      // 旧版本的反序列化逻辑
      $this->id = $data['id'];
      $this->username = $data['username'];
      $this->email = null; // 旧版本没有 email 属性
    } elseif ($version === 2) {
      // 新版本的反序列化逻辑
      $this->id = $data['id'];
      $this->username = $data['username'];
      $this->email = $data['email'];
    } else {
      throw new Exception("Unsupported version: " . $version);
    }
  }

  public function getEmail() {
      return $this->email;
  }
}

在这个例子中，我们添加了一个 version 属性，用于标识类的版本号。在反序列化时，我们根据版本号选择不同的反序列化逻辑。

注意事项

• __serialize 和 __unserialize 方法必须是 public 的。
• 这两个方法必须返回一个数组，或者接收一个数组作为参数。
• 在反序列化时，你需要确保所有必要的属性都被正确地初始化。
• 注意安全问题，避免反序列化来自不可信来源的数据，以防止代码注入攻击。
• __sleep 和 __wakeup 在一些老版本的PHP中也用于自定义序列化，但现在推荐使用 __serialize 和 __unserialize，因为它们更加灵活和强大。

总结

__serialize 和 __unserialize 是PHP中非常强大的工具，可以让你自定义对象的序列化和反序列化过程。通过它们，你可以隐藏敏感数据、优化性能、处理复杂依赖、以及实现版本控制。掌握了这两个魔法咒语，你就可以更加灵活地处理对象数据，让你的PHP代码更加健壮和安全。

希望今天的课程对你有所帮助！下次再见！👋