Yii应用中反序列化用户数据存在任意代码执行风险，需禁用unserialize、加固魔术方法、启用PHP白名单、重构缓存格式并部署WAF规则进行多层防护。
如果您在Yii框架应用中接收并反序列化用户可控数据，则可能触发反序列化漏洞，导致任意代码执行或敏感信息泄露。以下是针对该风险的多种防御措施：
一、禁用危险的反序列化调用
最直接有效的防御方式是彻底避免对用户输入执行unserialize()。框架内部或自定义逻辑中若存在此类调用，必须替换为安全的数据交换机制。
1、全局搜索项目中所有unserialize()函数调用点，包括第三方扩展和自定义组件。
2、将unserialize($_POST['data'])等语句替换为json_decode()配合严格类型校验。
3、对必须保留的序列化场景，强制添加白名单类过滤，仅允许预定义的安全类参与反序列化。
4、在调用前插入校验逻辑：if (!preg_match('/^O:\d+:"(SafeData|ConfigItem)":/', $input)) { throw new InvalidArgumentException("Invalid serialized data"); }
二、注入__wakeup与__destruct防护逻辑
通过重写魔术方法，在反序列化完成或对象销毁前执行强制校验，可阻断多数POP链的自动执行路径。
1、在所有可能被反序列化的业务模型类中显式声明__wakeup方法。
2、在__wakeup方法内检查关键属性是否被篡改：$this->allowedFields = ['name', 'email']; foreach ($this as $key => $val) { if (!in_array($key, $this->allowedFields)) { throw new RuntimeException("Forbidden property: {$key}"); } }
3、在__destruct方法开头添加环境标识判断：if (!defined('YII_ENV_TEST') && !defined('YII_ENV_PROD')) { exit; }
4、对继承自框架核心类（如Action、Model）的子类，确保其__wakeup不调用parent::__wakeup，防止触发父类危险逻辑。
三、启用PHP内置反序列化白名单机制
PHP 7.4+ 提供了unserialize()的options参数支持，可指定允许反序列化的类名列表，从根本上限制攻击面。
1、确认运行环境PHP版本不低于7.4。
2、将原unserialize($data)调用改为：unserialize($data, ['allowed_classes' => ['App\Models\SafeUser', 'App\Models\SafeConfig']]);
3、禁止使用allowed_classes => true，该配置等同于未设防。
4、将白名单类列表集中管理，避免硬编码分散在多处，便于统一审计与更新。
四、重构会话与缓存存储格式
Yii默认会话与缓存后端若使用PHP原生序列化，且数据来源不可信，则构成隐式反序列化入口。需切换至无对象重建能力的格式。
1、修改config/web.php中session配置，设置'class' => 'yiiwebCacheSession'而非'yiiwebSession'。
2、将cache组件的'serializer'选项设为'json'：'serializer' => 'json'
3、对Redis缓存后端，禁用serialize()包装，直接存取JSON字符串：$cache->set('key', json_encode($data)); $data = json_decode($cache->get('key'), true);
4、检查所有自定义缓存键生成逻辑，确保不将用户输入直接拼入缓存键名，防止键名污染引发误解析。
五、部署Web应用防火墙（WAF）规则层防护
在请求到达PHP应用前，通过正则匹配拦截典型反序列化载荷特征，作为纵深防御的最后一道屏障。
1、在Nginx配置中添加map指令识别O:开头的PHP序列化字符串：map $args $block_unserialize { ~O:[0-9]+:.*: { set $block_unserialize "1"; } }
2、在server块中添加if判断并返回403：if ($block_unserialize = "1") { return 403; }
3、在ModSecurity规则集中启用OWASP CRS 3.x的规则ID 932100（PHP Object Injection）。
4、对所有含data、payload、serialized等参数名的POST请求，强制记录原始请求体供安全团队回溯分析。
