当从php数据库中检索到形如 `a:3:{i:0;s:13:"...";}` 的序列化字符串时，直接使用 `explode()` 等字符串函数进行解析是无效的。本教程将介绍如何利用php内置的 `unserialize()` 函数，将这类序列化数据安全、高效地转换回可操作的php数组或对象，从而轻松提取所需信息，例如ip地址列表。
理解PHP序列化数据
在PHP开发中，有时为了方便将复杂的数据结构（如数组、对象）存储到数据库字段中，我们会使用PHP的序列化机制。序列化（Serialization）是将PHP变量转换为可存储或传输的字符串的过程，而反序列化（Deserialization）则是将该字符串恢复为原始的PHP变量。
一个典型的PHP序列化字符串示例如下： a:3:{i:0;s:13:"213.74.219.18";i:1;s:13:"321.32.321.32";i:2;s:14:"321.315.212.55";} 这个字符串表示一个包含三个元素的数组，其中每个元素都是一个字符串类型的IP地址。这种格式是PHP特有的，它包含了数据类型、长度和值等信息，以确保反序列化时能准确恢复原始数据结构。
尝试使用 explode()、substr() 或其他自定义字符串解析函数来处理这种复杂的序列化格式是不可靠且容易出错的。这些方法无法正确识别数据类型、处理嵌套结构或不同长度的值，从而导致解析失败或数据损坏。
unserialize() 函数：官方解决方案
PHP提供了一个专门用于反序列化这种字符串的内置函数：unserialize()。这个函数能够将由 serialize() 函数生成的字符串精确地转换回其原始的PHP值，无论是数组、对象、整数、字符串还是其他数据类型。
使用 unserialize() 的主要优势在于：
立即学习“PHP免费学习笔记（深入）”；
- 准确性： 它能完全恢复数据的原始结构和类型，避免手动解析可能引入的错误。
- 健壮性： 能够处理各种复杂的数据结构，包括多维数组和包含对象的数组。
- 简洁性： 一行代码即可完成复杂的解析任务，大大简化了开发。
实战：从数据库中解析IP地址列表
假设我们从数据库中检索到一个名为 ignored_ips 的选项，其 value 字段存储了一个序列化的IP地址列表。
云点滴客户解决方案是针对中小企业量身制定的具有简单易用、功能强大、永久免费使用、终身升级维护的智能化客户解决方案。依托功能强大、安全稳定的阿里云平 台，性价比高、扩展性好、安全性高、稳定性好。高内聚低耦合的模块化设计，使得每个模块最大限度的满足需求，相关模块的组合能满足用户的一系列要求。简单 易用的云备份使得用户随时随地简单、安全、可靠的备份客户信息。功能强大的报表统计使得用户大数据分析变的简单，
以下是如何使用 unserialize() 函数来解析这些数据并提取IP地址的步骤：
-
从数据库获取序列化字符串： 通过SQL查询从数据库中获取包含序列化数据的字段值。
// 假设 $con 是已建立的mysqli数据库连接 $query = "SELECT value FROM simple_stats_options WHERE option='ignored_ips'"; $result = mysqli_query($con, $query); if ($result && $row = mysqli_fetch_array($result, MYSQLI_ASSOC)) { $serializedIpData = $row["value"]; echo "从数据库获取的原始序列化数据：
" . htmlspecialchars($serializedIpData) . "
"; } else { echo "未能从数据库获取数据或数据不存在。
"; $serializedIpData = ''; // 提供一个默认值以防后续操作失败 } -
使用 unserialize() 进行反序列化： 将获取到的序列化字符串作为参数传递给 unserialize() 函数。
$ipAddresses = unserialize($serializedIpData);
处理反序列化后的数据：unserialize() 函数会返回一个PHP数组或对象（取决于原始数据）。我们可以像处理普通PHP数组一样遍历它。
示例代码
下面是一个完整的PHP代码示例，演示了如何模拟从数据库获取序列化数据，并使用 unserialize() 进行解析和遍历：
原始序列化数据："; echo htmlspecialchars($serializedDataFromDb) . "
"; // 使用 unserialize() 函数进行反序列化 $ipAddresses = unserialize($serializedDataFromDb); echo "反序列化后的数据结构：
"; // print_r() 函数用于打印关于变量的易于理解的信息 print_r($ipAddresses); echo "
"; // 检查反序列化结果是否为数组，并遍历输出IP地址 if (is_array($ipAddresses)) { echo "提取的IP地址列表：
"; foreach ($ipAddresses as $index => $ip) { echo "IP " . ($index + 1) . ": " . htmlspecialchars($ip) . "
"; } } else { echo "反序列化失败或数据格式不正确。
"; } // 实际数据库查询的简要模拟（需要真实数据库连接 $con） /* // 假设 $con 是一个有效的 mysqli 数据库连接 // $set = mysqli_query($con, "SELECT value FROM simple_stats_options WHERE option='ignored_ips'"); // if ($set && $value = mysqli_fetch_array($set, MYSQLI_ASSOC)) { // $realSerializedData = $value["value"]; // $realIpAddresses = unserialize($realSerializedData); // // 此时 $realIpAddresses 就是一个包含IP地址的数组，可以进行后续操作 // // foreach ($realIpAddresses as $ip) { ... } // } else { // echo "数据库查询失败或未找到数据。"; // } */ ?>
输出结果示例：
原始序列化数据：
a:3:{i:0;s:13:"213.74.219.18";i:1;s:13:"321.32.321.32";i:2;s:14:"321.315.212.55";}
反序列化后的数据结构：
Array
(
[0] => 213.74.219.18
[1] => 321.32.321.32
[2] => 321.315.212.55
)
提取的IP地址列表：
IP 1: 213.74.219.18
IP 2: 321.32.321.32
IP 3: 321.315.212.55注意事项
- 数据来源安全性： unserialize() 函数在处理来自不可信源的数据时存在潜在的安全风险，即所谓的“PHP对象注入”漏洞。如果攻击者能够控制序列化字符串的内容，他们可能构造恶意对象，导致远程代码执行。然而，在本教程的场景中，数据来源于您自己的数据库，通常被认为是可信的，因此风险较低。但在处理用户提交或外部系统传入的序列化数据时，务必谨慎。
-
错误处理： 如果 unserialize() 函数接收到的字符串不是有效的序列化格式，它会返回 false 并可能生成一个 E_NOTICE 级别的错误。因此，在实际应用中，建议对返回值进行检查：
$data = unserialize($serializedString); if ($data === false && $serializedString !== 'b:0;') { // 'b:0;' 是序列化布尔值false的字符串，需要特殊处理 // 处理反序列化失败的情况，例如记录日志或返回错误信息 echo "反序列化数据失败，可能数据格式不正确。"; } else { // 成功反序列化，继续处理 $data } - 替代方案： 对于更简单的数据结构（如仅包含字符串、数字的数组），或者需要跨语言兼容的数据存储，JSON格式（json_encode() 和 json_decode()）是一个更现代、更通用的选择。JSON数据更易读，且几乎所有编程语言都支持。如果您的应用允许，可以考虑将数据存储格式从PHP序列化改为JSON。
总结
当您在PHP应用中遇到需要从数据库或其他存储介质中解析PHP序列化字符串的情况时，unserialize() 函数是您最可靠、最专业的工具。它能够确保数据的完整性和准确性，避免手动解析带来的复杂性和潜在错误。遵循本教程的指导，您可以高效且安全地处理这类数据，从而提升代码的健壮性和可维护性。始终优先使用PHP内置的专用函数来处理特定数据格式，而不是尝试实现自定义的解析逻辑。
