PHP8.x中反序列化漏洞怎么防护-php教程-PHP中文网

PHP 8.x未新增反序列化漏洞，但严格类型系统使旧利用链易中断、绕过更隐蔽；防护核心是切断“不可信输入→unserialize()→危险类执行”链，禁用不受控unserialize调用，设allowed_classes白名单，禁用Phar协议，升级框架并用静态分析工具检测风险。

php8.x中反序列化漏洞怎么防护

PHP 8.x 并没有新增反序列化漏洞，但类型系统更严格、错误处理更激进，让旧利用链容易中断，也使绕过手法变得更隐蔽。防护重点不是“堵新洞”，而是切断“不可信输入 → unserialize() → 危险类执行”这条链。

这是最根本、最有效的防护动作。全项目搜索 unserialize(、->unserialize(、Str::unserialize 等关键词，重点关注：

控制器中类似 unserialize($_GET['data']) 的调试或兼容代码——必须删除，改用 json_decode($input, true)
缓存驱动（如 Redis）的 read() 方法——确认是否直接反序列化；若使用 Redis，需在 config/cache.php 中设 'serialize' => false，统一用 JSON 存取
Session 驱动（如 Memcache）读取逻辑——避免 session 数据被污染后触发反序列化，建议转为 JSON 格式存储
日志回放、错误处理、测试路由等临时功能中的残留入口——全部清理

PHP 7.4+ 支持 unserialize($data, ['allowed_classes' => [...]])，这是轻量且强效的兜底机制：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

将所有 unserialize($data) 替换为明确指定白名单的形式，例如：unserialize($data, ['allowed_classes' => ['App\Model\Order', 'DateTime']])
业务完全不依赖对象反序列化时，可设为 false（仅允许数组/标量），但上线前务必验证功能无异常
严禁将 think\Model、think\Cache 等框架内置类加入白名单——它们是 POP 链主力输出类
空数组 [] 或 ['__PHP_Incomplete_Class'] 等同于未设限，毫无防护作用

Phar 反序列化仍是高频利用路径，尤其通过 phar://xxx.jpg/exploit.phar 触发：

确保 php.ini 中 phar.readonly = On（默认开启，但需检查是否被手动关闭）
设置 allow_url_include = Off
在 disable_functions 中加入 unserialize、file_put_contents、system、exec、shell_exec、passthru
Nginx 层添加拦截规则：if ($request_uri ~* "phar://") { return 403; }
避免在 file_exists()、include()、echo $obj 等上下文中直接使用用户控制的对象