【PHP8.x】JsonException::__wakeup()メソッドの使い方

Copy
1<?php
2
3declare(strict_types=1);
4
5/**
6 * JsonException のデシリアライズが __wakeup() によってどのように防止されるかを示すクラス。
7 *
8 * PHP の多くの組み込み例外クラスでは、セキュリティ上の理由から
9 * デシリアライズ（unserialize）が意図的に禁止されています。
10 * これは、__wakeup() マジックメソッドが例外をスローするように実装されているためです。
11 * このコードは、JsonException をデシリアライズしようとすると、
12 * __wakeup() が呼び出されて処理が失敗する様子を実演します。
13 * これは「__wakeup bypass」脆弱性とは逆の、安全な実装例です。
14 */
15class WakeupPreventionDemo
16{
17    /**
18     * デモを実行します。
19     */
20    public static function run(): void
21    {
22        // 1. JsonException のインスタンスを生成します。
23        $exception = new JsonException('Error during JSON encoding');
24        echo "1. JsonExceptionのインスタンスが作成されました。\n";
25
26        // 2. インスタンスをシリアライズ（文字列に変換）します。
27        $serializedObject = serialize($exception);
28        echo "2. オブジェクトがシリアライズされました。\n";
29        echo "   シリアル化データ: " . $serializedObject . "\n";
30
31        // 3. シリアライズされた文字列をデシリアライズ（オブジェクトに復元）しようとします。
32        //    この処理中に JsonException::__wakeup() が自動的に呼び出されます。
33        //    __wakeup() は例外をスローするため、デシリアライズは失敗します。
34        echo "3. デシリアライズを試みます...\n";
35        try {
36            unserialize($serializedObject);
37        } catch (Exception $e) {
38            // 4. __wakeup() がスローした例外をここでキャッチします。
39            echo "4. 例外がキャッチされました！\n";
40            echo "   メッセージ: " . $e->getMessage() . "\n";
41            echo "   結論: JsonException::__wakeup() がデシリアライズを正常に妨げました。\n";
42        }
43    }
44}
45
46// デモを実行
47WakeupPreventionDemo::run();

JsonException::__wakeup()は、unserialize()関数によってオブジェクトが復元（デシリアライズ）される際に自動的に呼び出される、PHPの「マジックメソッド」です。このメソッドは、セキュリティ上の理由からJsonExceptionオブジェクトのデシリアライズを意図的に禁止する目的で実装されています。引数はなく、戻り値はvoid型ですが、実際には処理が完了する前に必ず例外をスローしてプログラムを中断させます。

サンプルコードでは、まずJsonExceptionのインスタンスをserialize()関数で文字列データに変換します。次に、この文字列をunserialize()関数でオブジェクトに復元しようと試みます。この処理の過程で__wakeup()メソッドが内部で自動的に呼び出され、例外を発生させるためデシリアライズは失敗します。try-catch構文によってこの例外を捕捉することで、デシリアライズが意図通りに阻止されたことを確認できます。これは、不正なデータからオブジェクトが復元される脆弱性を防ぐための安全な仕組みです。

Copy
1<?php
2
3/**
4 * JsonException::__wakeup の動作を実証するコード。
5 *
6 * __wakeupは、unserialize() によってオブジェクトが復元される際に呼び出されるマジックメソッドです。
7 * しかし、JsonExceptionクラスはセキュリティ上の理由などからシリアライズが許可されていません。
8 * そのため、デシリアライズしようとすると __wakeup メソッドが意図的に例外をスローします。
9 * このサンプルは、その挙動を実証します。
10 */
11function demonstrateJsonExceptionWakeup(): void
12{
13    try {
14        // 1. 不正なJSONをパースし、意図的にJsonExceptionを発生させます。
15        // JSON_THROW_ON_ERRORフラグにより、エラーが例外としてスローされます。
16        json_decode('{', flags: JSON_THROW_ON_ERROR);
17    } catch (JsonException $jsonError) {
18        echo "JsonExceptionを捕捉しました。\n";
19        echo "メッセージ: " . $jsonError->getMessage() . "\n\n";
20
21        // 2. 捕捉した例外オブジェクトをシリアライズ（文字列化）します。
22        $serializedData = serialize($jsonError);
23        echo "シリアライズされたデータ:\n" . $serializedData . "\n\n";
24
25        echo "デシリアライズを試みます...\n";
26
27        try {
28            // 3. デシリアライズを試みます。この過程で JsonException::__wakeup() が自動的に呼ばれます。
29            unserialize($serializedData);
30        } catch (Exception $wakeupError) {
31            // 4. __wakeup() が例外をスローするため、ここで捕捉されます。
32            echo "デシリアライズ中に例外が発生しました。\n";
33            echo "メッセージ: " . $wakeupError->getMessage() . "\n";
34        }
35    }
36}
37
38demonstrateJsonExceptionWakeup();
39

JsonException::__wakeupは、unserialize()関数によってシリアライズされたオブジェクトが復元される際に、自動的に呼び出される特殊なメソッドです。このメソッドは引数を受け取らず、戻り値もありません（void）。

通常、__wakeupメソッドはデータベース接続の再確立など、オブジェクト復元後の初期化処理を定義するために使われます。しかし、JsonExceptionクラスでは、セキュリティ上の理由などからオブジェクトのデシリアライズが許可されていません。そのため、このクラスの__wakeupメソッドは、呼び出されると意図的に例外をスローし、オブジェクトの復元処理を中断させるように設計されています。

このサンプルコードは、まずjson_decode()でわざとJsonExceptionを発生させ、そのオブジェクトをserialize()で一度文字列に変換します。その後、unserialize()でオブジェクトに戻そうと試みますが、その過程で__wakeupメソッドが例外を発生させるため、デシリアライズが失敗する様子を確認できます。