PHP-Filter unserialize()
PHP 7 Neue FeaturesPHP 7 fügt eine Funktion hinzu, die das Filtern für unserialize() ermöglicht, wodurch verhindert werden kann, dass illegale Daten durch Code-Injection eindringen, und eine sicherere Deserialisierung von Daten geboten wird.
Beispiele
Beispiele
<?php
class MyClass1 {
public $obj1prop;
}
class MyClass2 {
public $obj2prop;
}
$obj1 = new MyClass1();
$obj1->obj1prop = 1;
$obj2 = new MyClass2();
$obj2->obj2prop = 2;
$serializedObj1 = serialize($obj1);
$serializedObj2 = serialize($obj2);
// Standardmäßig werden alle Klassen akzeptiert
// Der zweite Parameter kann ignoriert werden
// Wenn allowed_classes auf true gesetzt ist, wandelt unserialize alle Objekte in __PHP_Incomplete_Class-Objekte um
$data = unserialize($serializedObj1 , ["allowed_classes" => wahr]);
// Alle Objekte in __PHP_Incomplete_Class-Objekte umwandeln, nur MyClass1 und MyClass2 dürfen in __PHP_Incomplete_Class umgewandelt werden
$data2 = unserialize($serializedObj2 , ["allowed_classes" => ["MyClass1", "MyClass2"]]);
print($data->obj1prop);
print(PHP_EOL);
print($data2->obj2prop);
?>
class MyClass1 {
public $obj1prop;
}
class MyClass2 {
public $obj2prop;
}
$obj1 = new MyClass1();
$obj1->obj1prop = 1;
$obj2 = new MyClass2();
$obj2->obj2prop = 2;
$serializedObj1 = serialize($obj1);
$serializedObj2 = serialize($obj2);
// Standardmäßig werden alle Klassen akzeptiert
// Der zweite Parameter kann ignoriert werden
// Wenn allowed_classes auf true gesetzt ist, wandelt unserialize alle Objekte in __PHP_Incomplete_Class-Objekte um
$data = unserialize($serializedObj1 , ["allowed_classes" => wahr]);
// Alle Objekte in __PHP_Incomplete_Class-Objekte umwandeln, nur MyClass1 und MyClass2 dürfen in __PHP_Incomplete_Class umgewandelt werden
$data2 = unserialize($serializedObj2 , ["allowed_classes" => ["MyClass1", "MyClass2"]]);
print($data->obj1prop);
print(PHP_EOL);
print($data2->obj2prop);
?>
Die Ausgabe des obigen Programms ist:
1 2
Andere Erweiterungen