foreach遍历对象仅访问public属性，private/protected属性被跳过；强制转数组后私有属性键名为"\0classname\0propname"，含不可见字符且json序列化会丢失，应避免使用，推荐toarray()方法或var_export()。
直接用 foreach 遍历对象，根本访问不到私有（private）和受保护（protected）属性——它们会被完全跳过，不会出现在循环中。
这是因为 PHP 的 foreach ($obj as $key => $value) 语义等价于遍历 get_object_vars($obj) 的结果，而该函数只返回 public 属性。私有属性既不暴露，也不触发 __get() 魔术方法，相当于“不可见”。
私有属性在强制转数组后会怎样？
如果你先用 (array)$obj 把对象转成数组，再 foreach 遍历这个数组，情况就不同了：
- ✅ public 属性：变成普通键名，如
'name' => 'Tom' - ⚠️ protected 属性：键名被包装为
\0*\0propName（注意开头的空字符和星号） - ⚠️ private 属性：键名被包装为
\0ClassName\0propName（含类名，且含不可见字符）
例如：
class User {
public $name = 'Alice';
protected $email = 'a@example.com';
private $token = 'xyz123';
}
$obj = new User();
$arr = (array)$obj;
foreach ($arr as $k => $v) {
var_dump($k, $v);
}
输出中你会看到类似：
string(4) "name" → string(5) "Alice" string(13) "*email" → string(15) "a@example.com" string(17) "Usertoken" → string(6) "xyz123"
这类键名含不可见字符，直接写 $arr['token'] 会失败；用字符串字面量匹配需手动拼接 \0User\0token，极易出错，也破坏可读性。
常见问题与风险
-
键名无法直写：
\0是空字节，PHP 字符串中需用"\0User\0token"才能访问，但 IDE 不友好、易误写 -
JSON 序列化丢失：
json_encode((array)$obj)会忽略所有带\0的键，私有/受保护属性彻底消失 - foreach 中难以判断属性可见性：循环里看不出哪个是 public，哪个是 mangled，调试困难
-
类型混淆：
(array)$obj不是真正“转换”，只是底层内存结构的映射，行为不稳定，不推荐用于业务逻辑
更安全的做法
- ✅ 若只需 public 属性：直接
foreach ($obj as $k => $v)—— 简洁、明确、无副作用 - ✅ 若需完整属性（含 private/protected）：在类内定义
toArray()方法，显式返回可控结构 - ✅ 若需调试或序列化：用
var_export($obj, true)或print_r($obj)，它们会如实显示所有属性及可见性标识 - ❌ 避免依赖
(array)$obj+foreach来“提取私有数据”——这不是设计意图，也不具备可维护性
