PHP中传输对象需序列化为字符串，常用方法有：1. 使用serialize和unserialize函数进行直接序列化与反序列化，支持完整对象状态但存在安全风险；2. 通过JSON格式传输，实现跨语言兼容，需实现JsonSerializable接口，安全性高但丢失方法需重建对象；3. 利用Session存储序列化对象，适合页面间保持状态。反序列化时须确保类已加载，并避免对不可信数据使用unserialize，推荐结合签名验证或优先选用JSON以提升安全性。
在PHP中传输对象，通常需要将对象转换成字符串形式，这个过程叫做序列化。序列化后的数据可以通过网络传输、保存到文件或数据库中，接收方再通过反序列化还原为原始对象。以下是常用的对象序列化传输方法。
使用serialize和unserialize函数
PHP内置的serialize()和unserialize()函数是最直接的对象序列化方式。
说明： serialize() 将对象转换为可存储或传输的字符串格式，unserialize() 则将其还原。
示例：
立即学习“PHP免费学习笔记（深入）”；
class User {
public $name;
public $age;
public function __construct($name, $age) {
$this->name = $name;
$this->age = $age;
}
public function getInfo() {
return "姓名：{$this->name}，年龄：{$this->age}";
}
}
// 创建对象
$user = new User("张三", 25);
// 序列化对象
$serialized = serialize($user);
echo $serialized; // 输出类似：O:4:"User":2:{s:4:"name";s:6:"张三";s:3:"age";i:25;}
// 假设通过POST、session或文件等方式传输$serialized
// 接收并反序列化
$restoredUser = unserialize($serialized);
echo $restoredUser->getInfo(); // 输出：姓名：张三，年龄：25
注意： 反序列化时，必须确保类定义已加载（使用include或autoloader），否则会生成__PHP_Incomplete_Class对象。
使用JSON格式传输（需手动处理）
JSON不直接支持PHP对象序列化，但可以将对象转为数组或使用JsonSerializable接口实现兼容。
适用场景： 跨语言传输、API接口通信。
示例：
立即学习“PHP免费学习笔记（深入）”；
class User implements JsonSerializable {
public $name;
public $age;
public function __construct($name, $age) {
$this->name = $name;
$this->age = $age;
}
public function jsonSerialize() {
return [
'name' => $this->name,
'age' => $this->age
];
}
public function getInfo() {
return "姓名：{$this->name}，年龄：{$this->age}";
}
}
$user = new User("李四", 30);
// 转为JSON字符串传输
$jsonString = json_encode($user);
echo $jsonString; // 输出：{"name":"李四","age":30}
// 接收后解析为stdClass对象或重建User实例
$data = json_decode($jsonString);
$restoredUser = new User($data->name, $data->age);
echo $restoredUser->getInfo();
优点： 格式通用，安全性高；缺点： 方法丢失，需重新构造对象。
Session中传递对象
PHP session支持直接存储序列化对象，适合在页面间保持对象状态。
操作方式：
session_start(); $_SESSION['user'] = serialize($user); // 存储 // 另一个页面 session_start(); $user = unserialize($_SESSION['user']);
也可直接赋值： PHP会自动序列化对象存入session，但推荐显式控制。
注意事项与安全建议
反序列化风险： unserialize()可能引发代码执行漏洞，尤其处理不可信数据时。
- 避免对用户输入使用unserialize()
- 使用签名或加密验证数据完整性
- 考虑用JSON替代，更安全
- 确保类文件在反序列化前已包含
基本上就这些。serialize/unserialize最方便，JSON更适合跨平台。根据实际场景选择合适方式。
