【PHP8.x】Dom\HTMLElement::__wakeup()メソッドの使い方

__wakeupメソッドの使い方について、初心者にもわかりやすく解説します。

作成日: 2025年09月11日更新日: 2025年11月23日

基本的な使い方

__wakeupメソッドは、Dom\HTMLElementオブジェクトのシリアライズ解除（デシリアライズ）がサポートされていないことを示すために、例外をスローするメソッドです。このメソッドは、PHPの「マジックメソッド」と呼ばれる特殊なメソッドの一つであり、unserialize()関数によってオブジェクトが再構築される際に自動的に呼び出されます。Dom\HTMLElementをはじめとするPHPのDOM関連クラスのオブジェクトは、その内部で特別なリソースへの参照を保持して動作しています。オブジェクトの状態を文字列へ変換するシリアライズ処理では、この内部リソースへの接続情報までを正しく保存・復元することができません。そのため、DOMオブジェクトのシリアライズは許可されていません。もし何らかの形でシリアライズされたデータをunserialize()関数でオブジェクトに戻そうとすると、この__wakeupメソッドが起動し、処理を中断して例外を発生させます。これにより、不完全な状態でオブジェクトが復元され、予期せぬエラーが発生することを防ぐという重要な役割を担っています。開発者がこのメソッドを直接呼び出すことは意図されていません。

構文(syntax)


1public function __wakeup(): void

引数(parameters)

引数なし

引数はありません

戻り値(return)

void

__wakeup メソッドは、オブジェクトのシリアライズ解除後に呼び出されます。このメソッドには戻り値はありません。

サンプルコード

PHP DOMElement __wakeup処理をバイパスする


1<?php
2
3class MyElement extends DOMElement {
4    public $data;
5
6    public function __construct(string $prefix, string $name, string $namespaceURI = "") {
7        parent::__construct($prefix, $name, $namespaceURI);
8    }
9
10    public function __wakeup() {
11        // Deserialization 時に実行される処理。 bypass 対策として、初期化処理を行う。
12        $this->data = "Initialized after unserialization.";
13    }
14}
15
16// DOMDocumentを拡張して、クラスを登録できるようにする
17class MyDOMDocument extends DOMDocument {
18    public function __construct(string $version = "1.0", string $encoding = "") {
19        parent::__construct($version, $encoding);
20        $this->registerNodeClass('DOMElement', 'MyElement'); // MyElementをDOMElementとして登録
21    }
22}
23
24// シリアライズされたデータ
25$serializedData = 'O:9:"MyElement":1:{s:4:"data";s:12:"Before change";}';
26
27// アンシリアライズ
28$element = unserialize($serializedData);
29
30// DOMDocumentを作成し、importNodeでDOMElementをインポート
31$dom = new MyDOMDocument();
32$importedNode = $dom->importNode($element, true);
33$dom->appendChild($importedNode);
34
35
36// 結果の確認
37echo $importedNode->data . PHP_EOL; // Output: Initialized after unserialization.

このサンプルコードは、PHPのDom\HTMLElementクラスの__wakeupメソッドを利用した、オブジェクトのシリアライズとアンシリアライズに関するものです。特に、__wakeupメソッドをバイパスされる脆弱性への対策を示しています。

__wakeupは、unserialize()関数によってオブジェクトがアンシリアライズされる際に自動的に実行されるマジックメソッドです。本来、オブジェクトの状態を復元するために使用されますが、脆弱性があると意図しない操作が行われる可能性があります。

この例では、MyElementクラスをDOMElementクラスから継承し、__wakeupメソッドを実装しています。__wakeupメソッド内では、アンシリアライズ後に$this->dataプロパティを初期化しています。これにより、シリアライズされたデータに含まれる$dataプロパティの値が上書きされ、意図しないデータが使用されるのを防ぎます。

MyDOMDocumentクラスはDOMDocumentクラスを拡張し、registerNodeClassメソッドを使ってDOMElementをMyElementとして登録しています。これにより、importNodeメソッドでインポートされたDOMElementはMyElementのインスタンスとして扱われます。

コードでは、最初にMyElementオブジェクトをシリアライズした文字列$serializedDataを用意します。unserialize()関数でアンシリアライズした後、MyDOMDocumentのインスタンスを作成し、importNode()メソッドでアンシリアライズされた$elementをインポートしています。

最終的に、$importedNode->dataを出力すると、__wakeupメソッドで初期化された値("Initialized after unserialization.")が表示されます。これは、アンシリアライズ時に__wakeupメソッドが実行され、$dataプロパティの値が変更されたことを示しています。

このサンプルコードは、__wakeupメソッドを利用して、アンシリアライズされたオブジェクトの状態を安全に初期化し、潜在的な脆弱性に対処する方法を示しています。

__wakeupメソッドは、オブジェクトがunserialize関数によって復元される際に自動的に実行される特殊なメソッドです。このサンプルコードでは、__wakeupメソッド内で $this->data を初期化することで、シリアライズされたデータによる意図しない値の上書きを防いでいます。これは、PHPにおけるオブジェクトインジェクション脆弱性（__wakeup bypass）への対策として重要です。unserialize処理を行う前に、想定外のデータがオブジェクトに注入されるのを防ぐため、必ず初期化処理を行いましょう。また、DOMDocument::importNode を使用してDOMツリーにノードを追加する際にも、同様のセキュリティ対策を意識することが推奨されます。

PHP Dom\HTMLElement::__wakeup の挙動を理解する


1<?php
2
3declare(strict_types=1);
4
5/**
6 * Dom\HTMLElement::__wakeup の動作を説明するためのサンプルコード
7 *
8 * __wakeup()は、unserialize() 関数によってオブジェクトが復元された直後に
9 * 呼び出されるマジックメソッドです。
10 *
11 * しかし、DOM関連のクラス（Dom\HTMLElementなど）は、ドキュメントとの関連性など
12 * 複雑な内部状態を持つため、シリアライズ（文字列への変換）が許可されていません。
13 *
14 * このコードは、DOM要素のシリアライズが例外を発生させることを示します。
15 * これにより、unserialize() が実行されることはなく、__wakeup() が
16 * 呼び出される状況を意図的に作ることができないことがわかります。
17 *
18 * Dom\HTMLElement::__wakeupは、もし不正にアンシリアライズが行われた場合に、
19 * 安全のために意図的にエラーを発生させる役割（フェイルセーフ）を担っています。
20 */
21class DomWakeupDemonstrator
22{
23    /**
24     * DOM要素のシリアライズを試み、__wakeupが呼ばれないことを確認します。
25     */
26    public function run(): void
27    {
28        // 1. DOMDocumentオブジェクトとHTMLElementオブジェクトを生成します。
29        $dom = new \DOMDocument();
30        // 簡単なHTMLを読み込みます。
31        $dom->loadHTML('<html><body><p id="target">Hello</p></body></html>');
32
33        // getElementByIdは Dom\Element|null を返します。
34        /** @var \Dom\HTMLElement $element */
35        $element = $dom->getElementById('target');
36
37        echo 'Dom\HTMLElementオブジェクトのシリアライズを試みます...' . PHP_EOL;
38
39        try {
40            // 2. serialize()を試みますが、ここで例外がスローされます。
41            // DOMオブジェクトはシリアライズできないためです。
42            $serializedObject = serialize($element);
43
44            // シリアライズが成功した場合のコード（通常は実行されません）
45            echo 'シリアライズに成功しました。' . PHP_EOL;
46            // unserialize() 実行時に __wakeup() が呼ばれます。
47            $unserializedObject = unserialize($serializedObject);
48
49        } catch (\Exception $e) {
50            // 3. 例外を捕捉し、エラーメッセージを表示します。
51            echo 'キャッチした例外: ' . $e->getMessage() . PHP_EOL;
52            echo 'ご覧の通り、DOMオブジェクトはシリアライズできません。' . PHP_EOL;
53            echo 'そのため、unserialize()も実行されず、__wakeup()が呼び出されることはありません。' . PHP_EOL;
54        }
55    }
56}
57
58// サンプルコードの実行
59$demonstrator = new DomWakeupDemonstrator();
60$demonstrator->run();

Dom\HTMLElement::__wakeupは、PHPのunserialize()関数によってオブジェクトが復元された直後に自動的に呼び出されるマジックメソッドです。しかし、Dom\HTMLElementはドキュメントとの関連性など複雑な内部状態を持つため、通常はシリアライズ（文字列への変換）が許可されていません。

このサンプルコードでは、Dom\HTMLElementオブジェクトのシリアライズを試み、例外が発生することを確認します。これは、Dom\HTMLElementがシリアライズできないため、unserialize()も実行されず、結果として__wakeup()が呼び出される状況が発生しないことを示しています。

Dom\HTMLElement::__wakeupは、もし不正にアンシリアライズが行われた場合に、安全のために意図的にエラーを発生させる役割を担っています。これはフェイルセーフ機構として機能し、不正な状態でのオブジェクトの利用を防ぎます。引数はなく、戻り値もありません（void）。このメソッドは、unserialize()の過程でオブジェクトが復元された際に、暗黙的に実行されることに注意してください。

Dom\HTMLElement::__wakeupは、オブジェクトのアンシリアライズ時に自動的に呼ばれる特別なメソッドです。しかし、DOM関連のオブジェクトは、内部状態が複雑なためシリアライズできません。そのため、serialize()関数を実行すると例外が発生し、unserialize()も実行されないため、__wakeup()が呼ばれる状況は通常発生しません。

このメソッドは、もし何らかの理由で不正にアンシリアライズが試みられた場合に、エラーを発生させて処理を停止させる安全機構（フェイルセーフ）として機能します。Dom\HTMLElementオブジェクトをシリアライズしようとすると例外が投げられることを理解しておきましょう。意図的に__wakeup()を呼び出すことはできません。