>  기사  >  백엔드 개발  >  PHP에서 직렬화 해제 및 자동 로드

PHP에서 직렬화 해제 및 자동 로드

WBOY
WBOY원래의
2016-07-25 09:03:38962검색
  1. $string = 'O:6:"Foobar":2:{s:3:"foo "; s: 1: "1"; s: 3: "bar"; s: 1: "2"; }';

  2. $result = unserialize($string);
  3. var_dump($result);

  4. /*

  5. object(__PHP_Incomplete_Class)[1]
  6. public '__PHP_Incomplete_Class_Name' => string 'Foobar'(길이=6)
  7. public 'foo' => 문자열 '1'(길이=1)
  8. 공개 'bar' => 문자열 '2'(길이=1)
  9. */
  10. ?>
코드 복사

객체를 역직렬화할 때 객체의 클래스 정의가 존재하지 않으면 PHP는 미완성 클래스 개념을 도입합니다. : __PHP_Incomplete_Class. 지금은 성공적으로 역직렬화했지만 여전히 개체의 데이터에 액세스할 수 없습니다. 그렇지 않으면 다음 오류 메시지가 나타납니다. 스크립트가 메소드를 실행하거나 불완전한 객체의 속성에 액세스하려고 했습니다. 작업하려는 객체의 클래스 정의가 unserialize()가 호출되기 _전에_ 로드되었는지 확인하거나 클래스를 로드하기 위한 __autoload() 함수를 제공하십시오. 정의.

이것은 어려운 작업이 아닙니다. 강제로 유형 변환을 수행하고 이를 배열로 바꾸면 됩니다.

  1. $string = 'O:6:"Foobar":2:{s:3 : "foo"; s: 3: "바"; }'
  2. $result = (배열)unserialize($string); var_dump($result);

  3. /*

  4. 배열
  5. '__PHP_Incomplete_Class_Name' => string 'Foobar'(길이=6)
  6. 'foo' => ; 문자열 '1'(길이=1)
  7. 'bar' => 문자열 '2'(길이=1)
  8. */
  9. ?>

코드 복사
그러나 시스템에 Autoload가 활성화되면 상황은 더욱 복잡해집니다. 그런데 PHP는 실제로 unserialize_callback_func라는 구성 옵션을 제공하지만 그 의미는 autoload와 유사합니다. 여기서는 autoload에 대해서만 설명하겠습니다.

  1. spl_autoload_register(function($name) {
  2. var_dump($name);
  3. });
  4. $string = 'O:6:"Foobar":2:{s:3:"foo";s:1:"1";s:3:"bar";s:1:"2";}' ;
  5. $result = (array)unserialize($string);
  6. var_dump($result);
  7. ?>
코드 복사
위 코드를 실행하면 spl_autoload_register가 트리거되는 것을 볼 수 있습니다. 대부분의 경우 이는 의미가 있지만 부적절하게 정의된 spl_autoload_register를 발견하면 비극이 됩니다. 예를 들어 다음 코드는 다음과 같습니다.

  1. spl_autoload_register(function($name) {
  2. include “/path/to/{$name}.php” ;
  3. });
  4. $string = 'O:6:"Foobar":2:{s:3:"foo";s:1:"1";s:3:"bar";s :1:"2";}';
  5. $result = (array)unserialize($string);
  6. var_dump($result);
  7. ?>
복사
코드는 클래스 정의 파일을 찾을 수 없기 때문에 의심할 여지 없이 오류입니다! spl_autoload_register를 변경하는 것은 확실히 가능하지만, 제3자 코드가 포함된 경우 승인 없이는 결정할 수 없습니다. 이때 자동 로드를 우회하도록 직렬화를 허용하는 방법이 필요합니다. 가장 간단한 방법은 FAKE out이 필요한 클래스를 추가하는 것입니다.

  1. spl_autoload_register(function($name) {
  2. include “/path/to/{$name}.php” ;
  3. });
  4. class Foobar {} // 아, 젠장!
  5. $string = 'O: 6: "Foobar": 2: {s: 3: "foo"; s: 1: "1"; s: s: 1: "2"; }';
  6. $result = (array)unserialize($string);
  7. var_dump($result);
  8. ?>
코드 복사
위 코드는 정말 쓰레기라고 말씀드리고 싶습니다. 내가 쓴 한 사람을 당신에게 제공하기 위해:

  1. spl_autoload_register(function($name) {
  2. include “/path/to/ {$name}.php";
  3. });

  4. $string = 'o:6:"Foobar":2:{s:3:"foo";s :1: "1"; s: 1: "2"; }';

  5. $functions = spl_autoload_functions()
  6. foreach($functions) {
  7. spl_autoload_unregister($function);
  8. }

  9. $result = (array)unserialize($string);

  10. foreach($ $function으로 함수) {

  11. spl_autoload_register($function);
  12. }
  13. var_dump($result) >
  14. 코드 복사
  15. 코드가 조금 더 있기는 하지만, 적어도 FAKE 클래스가 없어서 더 편해 보입니다.



성명:
본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.