反序列化后对象没方法，是因为未加载类定义，php将其识别为__php_incomplete_class_name；必须提前include类文件或确保自动加载生效，且__sleep()控制序列化属性，__wakeup()用于重建资源。
PHP对象序列化不是“存成字符串就完事”，serialize() 和 unserialize() 的行为高度依赖类定义、魔术方法和运行时环境，直接拿来用容易在反序列化时得到 __PHP_Incomplete_Class_Name 或触发意外逻辑。
为什么反序列化后对象没方法、调不了函数？
反序列化不加载类定义，只还原属性值。如果类文件没提前 include 或自动加载未覆盖该类，PHP 会把对象当成未知类型，赋给伪类 __PHP_Incomplete_Class_Name —— 此时属性还在，但所有方法都不可用。
- 必须确保反序列化前，类的定义已载入（例如通过
require_once 'User.php'或 Composer autoloader） - 若用
$_SESSION存对象，每个用到该 session 的脚本都要能加载对应类，不能只在写入时加载 - 检查
class_exists('User')返回false就是典型征兆
如何控制哪些属性参与序列化？
靠 __sleep() 魔术方法。它在 serialize() 调用前自动执行，返回一个需保留的属性名数组；不在列表里的属性会被忽略（包括 private/protected）。
- 返回空数组
return [];表示不序列化任何属性（仅保留类名和结构） - 不能在
__sleep()中访问未初始化的属性，否则触发 Notice - 不要尝试在
__sleep()中修改属性值来“脱敏”——它只管字段开关，不负责值处理 - 示例：
public function __sleep() { return ['name', 'email']; }
反序列化后连接断了、资源没了，怎么重建？
__wakeup() 是唯一可靠的重建入口。它在 unserialize() 完成后立即执行，适合重连数据库、重设句柄、恢复临时状态。
- 别在
__construct()里做这类事——反序列化不走构造函数 - 若类里有
private $conn这类资源型属性，__sleep()应排除它，__wakeup()中再$this->conn = new PDO(...) - 注意：若父类也有
__wakeup()，子类必须显式调用parent::__wakeup()，否则被覆盖 - 避免在
__wakeup()中抛异常，会导致反序列化失败并返回false
为什么不能直接反序列化用户输入？
因为 unserialize() 会无条件触发对象的 __wakeup()、__destruct()，甚至某些原生类（如 SoapClient）的副作用方法，攻击者可构造恶意字符串实现任意代码执行。
- PHP 7.4+ 默认禁用了部分危险原生类，但老版本或自定义类仍风险极高
- 即便加了
filter_var($input, FILTER_SANITIZE_STRING)也没用——序列化字符串本身合法，但语义危险 - 替代方案优先选
json_encode()/json_decode()，它不触发魔术方法，且天然过滤非标量数据 - 真要传对象结构，至少加签名验证：
hash_hmac('sha256', $serialized, $secret)，反序列化前校验
最常被忽略的一点：序列化字符串里硬编码了类名长度和属性名长度（比如 O:4:"User" 中的 4），一旦类名或属性名变更，旧数据就无法反序列化——这比类型错误更难 debug。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
