__sleep() 必须返回字符串数组，因 serialize() 将其作为可序列化属性名列表；非字符串项或非数组会报错。__wakeup() 不应直接 new PDO，因缺少连接参数且易失败，应延迟初始化或重置状态。
__sleep 为什么返回的必须是字符串数组
因为 serialize() 在序列化对象前，会把 __sleep() 的返回值当作「要保存的属性名列表」来用。如果返回非数组、或数组里有非字符串项（比如 null、数字、对象），PHP 就直接报错：Serialization of 'xxx' is not allowed。
常见错误是误写成 return ['this->conn'] 或 return $this->props（没过滤掉资源/闭包）；正确做法是只返回明确的、可序列化的属性名：
public function __sleep()
{
// 过滤掉 PDO 实例、文件句柄、回调等不可序列化的东西
$allowed = ['id', 'name', 'created_at'];
return $allowed;
}
__wakeup 中重建资源时为什么不能直接 new PDO
因为 __wakeup() 是在反序列化后自动调用的，此时你并不知道原始连接参数（如 host/user/pass），硬编码 new PDO(...) 很可能失败，还可能触发不必要的数据库连接。
更合理的做法是延迟初始化，或用占位符+后续手动恢复：
- 把数据库连接设为
null或private $conn = null;，并在需要时用getConn()懒加载 - 若必须恢复状态（比如缓存了 token），可在
__wakeup()中重置内部标记：$this->isConnected = false; - 绝不应在
__wakeup()里执行可能抛异常的操作（如网络请求），否则整个反序列化会中断
序列化时跳过敏感字段的典型场景
比如用户对象含 $password_hash、$api_token，这些绝不能进 session 或 Redis 缓存。靠 __sleep() 控制是最直接的方式：
public function __sleep()
{
// 显式列出所有要保留的字段，天然排除敏感项
return ['id', 'username', 'email', 'role'];
// 不写 $password_hash、$remember_token → 它们不会被序列化
}
注意：不要试图在 __sleep() 里做 unset($this->password_hash) —— 这样改的是当前对象，而 serialize() 仍会尝试序列化它（除非你同时从返回数组里删掉该键）。
__sleep 和 __wakeup 不触发继承链的隐含风险
PHP 不会自动调用父类的 __sleep 或 __wakeup。如果你在子类里定义了其中一个，父类里同名方法就完全失效了。
容易被忽略的点：
- 子类写了
__sleep()却忘了调用parent::__sleep()，导致父类关键属性丢失 - 父类有资源清理逻辑（如关闭临时文件），但子类
__wakeup()覆盖后没补上，下次反序列化就可能出错 - 解决办法很直白：显式委托，例如
return array_merge(parent::__sleep(), ['child_prop']);
这俩方法看着简单，但只要涉及继承、资源、敏感数据，漏掉一行委托或一个判断，序列化后的对象就可能在某个深夜突然不工作。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
