【PHP8.x】__wakeupメソッドの使い方

Copy
1<?php
2
3class MyDocument extends DOMDocument {
4    public $data;
5
6    public function __construct() {
7        parent::__construct();
8        $this->data = "Initial data";
9    }
10
11    public function __sleep() {
12        // シリアライズするプロパティのリストを返す
13        return array('data');
14    }
15
16    public function __wakeup() {
17        // __wakeup メソッドを空にすることで、 unserialize 時の DOMDocument の初期化処理をスキップできる。
18        // これにより、セキュリティ上の脆弱性を回避できる場合がある。（__wakeup bypass）
19        // ただし、DOMDocument の状態が正しく初期化されないため、注意が必要。
20
21        // 例：データを復元する処理を記述することもできる
22        // $this->data = "Restored data";
23    }
24
25    public function displayData() {
26        echo "Data: " . $this->data . PHP_EOL;
27    }
28}
29
30// オブジェクトを作成
31$doc = new MyDocument();
32$doc->displayData(); // Output: Data: Initial data
33
34// シリアライズ
35$serialized = serialize($doc);
36
37// アンシリアライズ
38$unserialized = unserialize($serialized);
39
40// アンシリアライズされたオブジェクトの状態を確認
41$unserialized->displayData(); // Output: Data: Initial data (__wakeup bypass)
42
43?>

このサンプルコードは、PHPのDOMDocumentクラスを拡張したMyDocumentクラスにおける__wakeupメソッドの挙動を示しています。__wakeupは、オブジェクトがunserialize関数によって復元される際に自動的に呼ばれるマジックメソッドです。

通常のDOMDocumentオブジェクトはunserializeされる際に内部状態を初期化しますが、このサンプルではMyDocumentクラスで__wakeupメソッドを空にすることで、その初期化処理を意図的にスキップしています。これを「__wakeup bypass」と呼び、特定の状況下でセキュリティ上の脆弱性を回避するために利用されることがあります。

__sleepメソッドは、オブジェクトがserializeされる際に呼び出され、シリアライズされるプロパティのリストを返します。このサンプルでは、dataプロパティのみがシリアライズされます。

MyDocumentクラスのコンストラクタでは、dataプロパティに初期値"Initial data"が設定されます。serialize、unserializeを経て復元されたオブジェクトでは、__wakeupが空のため、dataプロパティは初期値のまま保持されます。displayDataメソッドは、dataプロパティの内容を出力します。

この例では、__wakeupを空にすることでunserialize時の初期化処理をスキップしていますが、コメントにあるように、__wakeup内でデータの復元処理を記述することも可能です。__wakeup bypassを利用する場合は、DOMDocumentの状態が正しく初期化されない可能性があるため、十分な注意が必要です。

Copy
1<?php
2
3declare(strict_types=1);
4
5/**
6 * Dom\Document::__wakeup の動作を確認するサンプル
7 *
8 * __wakeupは、unserialize()関数がオブジェクトを再構築する際に呼び出されるマジックメソッドです。
9 * Dom\Document クラスは、セキュリティ上の理由からシリアライズ・デシリアライズが許可されていません。
10 * そのため、unserialize() を試みると、__wakeup() メソッドが例外をスローします。
11 * このコードは、その一連の動作を実演します。
12 */
13function demonstrateDomDocumentWakeup(): void
14{
15    // 1. DOMDocumentオブジェクトを生成します。
16    $dom = new DOMDocument('1.0', 'UTF-8');
17    $dom->loadXML('<book><title>PHP実践入門</title></book>');
18
19    // 2. オブジェクトをシリアライズ（文字列に変換）します。
20    // serialize()自体は成功しますが、この文字列からオブジェクトを復元することはできません。
21    $serializedDom = serialize($dom);
22
23    echo "DOMDocumentオブジェクトのシリアライズを試みます...\n";
24    echo "シリアライズ成功。\n\n";
25
26    echo "シリアライズされたデータから復元 (unserialize) を試みます...\n";
27    try {
28        // 3. unserialize() を実行します。
29        // この処理の過程で Dom\Document::__wakeup() が内部的に呼び出され、例外がスローされます。
30        unserialize($serializedDom);
31    } catch (Exception $e) {
32        // 4. __wakeup() によってスローされた例外を捕捉し、メッセージを表示します。
33        echo "エラーが発生しました: " . $e->getMessage() . "\n";
34        echo "これは、Dom\Document オブジェクトのデシリアライズが意図的に禁止されているためです。\n";
35    }
36}
37
38demonstrateDomDocumentWakeup();

PHPのDom\Documentクラスに存在する__wakeupメソッドは、オブジェクトが文字列から元の状態に復元される際（デシリアライズ時）に、unserialize()関数によって自動的に呼び出される特別な「マジックメソッド」の一つです。このメソッドは引数を取らず、戻り値もありません（void）。

通常、__wakeupメソッドはオブジェクトの状態を復元する前の準備などに利用されますが、Dom\Documentクラスの場合はセキュリティ上の理由から、オブジェクトのデシリアライズが意図的に禁止されています。そのため、Dom\Documentオブジェクトを文字列に変換（シリアライズ）することは可能ですが、その文字列からオブジェクトを復元しようとすると、内部でDom\Document::__wakeupメソッドが呼び出され、そこで例外（エラー）がスローされるように設計されています。

提供されたサンプルコードは、この挙動を具体的に示しています。まず、DOMDocumentオブジェクトを生成し、XMLを読み込ませます。その後、serialize()関数でオブジェクトを文字列に変換します。この変換自体は成功します。しかし、次にunserialize()関数を使ってこの文字列から元のオブジェクトを復元しようとすると、Dom\Document::__wakeupメソッドが実行され、その結果として「Dom\Document オブジェクトのデシリアライズは許可されていません」といった内容の例外が発生し、処理が中断されることが確認できます。これは、Dom\Documentオブジェクトの整合性とセキュリティを保つためのPHPの仕様です。