(日更)PHP反序化漏洞解析（1）反序化简介及为什么要反序化

 序列化和反序化简介

        为了有效地存储或传递数据，同时不丢失其类型和结构，经常需要利用序列化和反序化函数对数据进行处理。

        序列化函数返回字符串，此字符串包含了表示值的字节流，可以存储于任何地方。

        反序列化函数对单一的已序列化的变量进行操作，将其转换回原来的值。

        这两个过程结合起来，可以轻松地存储和传输数据，使程序更具维护性。

        PHP语言中常用地序列化和反序列化函数有 serialize,unserialize,json_encode和json_decode.

第一次看上去可能比较迷，没关系，我们可以先看一下为什么要反序化。

为什么要反序化

这里必须要提示一点，序列化后的字符串是不能当做变量或者对象使用的，每次使用都必须将字符串反序列化。

说了这么多，相信大家都有一个疑问，为什么要劳神费力的搞个序列化呢？

我们用俄罗斯方块解释一下。

 我们把PHP中对象、字符串、类、数组、变量、匿名函数比作不同形状的方块。

其中字符串为长方形的方块：

如果把俄罗斯方块这个方框比作服务器的内存，怎样才能最大的利用服务器的空间呢？

很简单，我们把所有对象、类、数组、变量、匿名函数都打包（序列化）为长方形（字符串）。

这样是不是既方便服务器存储数据，又能最大的利用服务器的内存呢？

那如果我们需要用对象、类、数组、变量、匿名函数呢？很简单，我们就将其解包（反序化），就转化为原来的格式。

所以，序列化的作用是为了方便服务器存储和运输数据，减少服务器的压力，毕竟，服务器的资源是非常宝贵的。