为何PHP中空类实例可在类外定义并赋值未声明的类变量？

你遇到的是PHP的动态属性特性——即使类未预先声明属性，也能在实例化后为对象直接添加并赋值新属性。

代码示例 #

class Test{}

$test = new Test();

var_dump(isset($test->foo));
$test->foo = 'bar';
var_dump(isset($test->foo));

echo $test->foo;

运行结果 #

bool(false)
bool(true)
bar    

一、实现原理 #

• PHP作为动态类型语言，对象默认支持动态属性。当你给未声明的属性赋值时，PHP会自动将该属性存入对象内部的哈希表（类似stdClass的属性存储结构）。
• 对于自定义空类，在PHP 8.2版本之前，默认允许添加动态属性；8.2+版本默认禁用该特性，若需保留则需给类添加#[AllowDynamicProperties]注解，否则会抛出错误。
• 底层实现上，PHP对象的属性存储在zend_object结构体的properties哈希表中，动态添加的属性会直接写入这个表，后续访问时即可直接读取。

二、安全性分析 #

• 潜在风险：
  • 拼写错误引发的隐性bug：比如误写属性名会意外创建新属性，这类问题很难排查。
  • 内存占用失控：大量无节制地添加动态属性，可能导致不必要的内存消耗。
  • 意外属性覆盖：后续代码若误操作给已有动态属性赋值，会破坏原有逻辑，引发难以定位的错误。
• 安全使用建议：
  • 若不需要动态属性，PHP 8.2+版本不要给类添加#[AllowDynamicProperties]注解，让PHP直接拦截非法属性添加；低版本可以通过实现__set魔术方法来限制或监控属性添加行为。
  • 优先在类内部显式声明属性，提升代码的可读性和可维护性。
  • 若必须使用动态属性，建议通过统一的方法进行管理，避免随意添加。

内容的提问来源于stack exchange，提问作者Amir Adibi