【PHP8.x】__wakeupメソッドの使い方

Copy
1<?php
2
3class MyClass {
4    public $data;
5    private $secret;
6
7    public function __construct($data, $secret) {
8        $this->data = $data;
9        $this->secret = $secret;
10    }
11
12    public function __wakeup() {
13        // シリアライズ復元時に secret が正しいか検証する
14        if ($this->secret !== 'my_secret_key') {
15            throw new Exception("Invalid secret key!");
16        }
17        echo "__wakeup() called.\n";
18    }
19
20    public function getData() {
21        return $this->data;
22    }
23}
24
25// オブジェクトをシリアライズ
26$obj = new MyClass('Some data', 'my_secret_key');
27$serialized = serialize($obj);
28
29// シリアライズされたデータを改ざんして、secret を不正な値に変更 (wakeup bypassの例)
30$modified_serialized = str_replace('s:13:"my_secret_key";', 's:13:"wrong_secret";', $serialized);
31
32try {
33    // オブジェクトをアンシリアライズ
34    $unserialized = unserialize($modified_serialized);
35
36    //  secretキーが不正なため、__wakeup() 内で例外が発生し、getData() は実行されない。
37    echo "Data: " . $unserialized->getData() . "\n";
38
39} catch (Exception $e) {
40    echo "Exception: " . $e->getMessage() . "\n";
41}
42
43// 正常な secret key でのunserializeの例
44try {
45    $unserialized_normal = unserialize($serialized);
46    echo "Data: " . $unserialized_normal->getData() . "\n";
47
48} catch (Exception $e) {
49    echo "Exception: " . $e->getMessage() . "\n";
50}
51?>

このサンプルコードは、PHPのDom\CharacterDataクラスではなく、一般的なクラスにおけるマジックメソッド__wakeup()の動作と、意図しない__wakeup処理のバイパス（回避）の可能性を示すものです。

__wakeup()は、unserialize()関数によってオブジェクトが復元される際に自動的に呼ばれるメソッドです。引数はなく、戻り値もありません（void）。シリアライズされたオブジェクトを復元する際に、初期化処理やデータの検証を行う目的で使用されます。

この例では、MyClassクラスに__wakeup()メソッドが定義されており、オブジェクトの秘密鍵 (secret) が正しいかどうかを検証しています。もし秘密鍵が期待される値 (my_secret_key) と異なっていた場合、例外を発生させます。

コードでは、まずMyClassのオブジェクトをシリアライズし、その後、シリアライズされた文字列を改ざんして、秘密鍵の値を意図的に間違った値に変更しています。

unserialize()関数でこの改ざんされた文字列を復元しようとすると、__wakeup()メソッドが呼ばれますが、秘密鍵の検証に失敗し、例外が発生します。これにより、オブジェクトの不正な状態での利用を防ぐことができます。

一方で、もし__wakeupメソッドが定義されていなかったり、脆弱な実装であった場合、シリアライズされたデータを改ざんすることで、意図しない状態のオブジェクトが生成される可能性があります。これは、セキュリティ上のリスクにつながるため、__wakeupメソッドは慎重に実装する必要があります。

最後に、改ざんされていないシリアライズされたデータでunserializeを実行し、正常にオブジェクトが復元される例を示しています。この場合は、__wakeupメソッドが正常に実行され、データへのアクセスが可能になります。

Copy
1<?php
2
3namespace Dom;
4
5class MyCharacterData extends \DOMCharacterData
6{
7    private $data;
8
9    public function __construct(string $data = "")
10    {
11        $this->data = $data;
12    }
13
14    public function appendData(string $data): void
15    {
16        $this->data .= $data;
17    }
18
19    public function getData(): string
20    {
21        return $this->data;
22    }
23
24    public function __sleep(): array
25    {
26        // シリアライズするプロパティを指定
27        return ['data'];
28    }
29
30    public function __wakeup(): void
31    {
32        // シリアライズから復元後に実行される処理
33        // 例えば、データベース接続の再確立など
34        // 今回は特に何もしない
35    }
36}
37
38// 使用例
39$charData = new MyCharacterData("初期データ");
40$charData->appendData(" - 追加データ");
41
42// シリアライズ
43$serializedData = serialize($charData);
44
45// アンシリアライズ
46$unserializedData = unserialize($serializedData);
47
48// データの確認
49echo $unserializedData->getData(); // 出力: 初期データ - 追加データ

PHP 8 における Dom\CharacterData クラスの __wakeup メソッドは、オブジェクトがシリアライズされた状態から復元（アンシリアライズ）される際に自動的に呼ばれる特別なメソッドです。引数はなく、戻り値もありません（void）。

このサンプルコードでは、DOMCharacterData クラスを拡張した MyCharacterData クラスを定義しています。__sleep メソッドは、オブジェクトをシリアライズする際にどのプロパティを保存するかを指定します。ここでは $data プロパティのみを保存するように設定されています。

__wakeup メソッドは、シリアライズされたオブジェクトが unserialize() 関数によって復元された直後に実行されます。一般的には、データベース接続の再確立や、一時ファイルの再読み込みなど、オブジェクトの状態を初期化するために使用されます。このサンプルでは、特に初期化処理は行っていません。

例では、MyCharacterData オブジェクトを作成し、データを追加した後、serialize() 関数でシリアライズし、unserialize() 関数で復元しています。復元されたオブジェクトの getData() メソッドを呼び出すことで、シリアライズ前のデータが正しく復元されていることを確認できます。__wakeup メソッドは、アンシリアライズ後のオブジェクトの状態を調整するために非常に重要な役割を果たします。