PHP开发中的不安全反序列化

    序列化是开发语言中将某个对象转换为一串字节流的过程，转换后的字节流可以方便存储在数据库中，也可以方便在网络中进行传输。而反序列化则是将数据库取出的字节流或从网络上接收到的字节流反向转换为对象的过程。概念虽如此，但不同的开发语言的序列化和反序列化的过程又略有不同。    

    以下代码是PHP序列化和反序列化的简单示例：

    如果应用的反序列化字符串能够最终被用户操控，那么恶意攻击者可以操控序列化对象将恶意代码植入到应用中执行，从而造成诸如命令执行的漏洞。因此，应用开发中对不可信的输入来源如无必要不要做反序列化操作。   

   PHP的序列化基本类型如下表所示。

    以上文中的序列化输出为例：

O:3:"Car":3:{...}

   开头大写的O表示后面的字符串是对象类型，之后的3表示类名的长度（即Car的长度），最后的3表示类中