PHP通过Closure可修改类私有属性，如何防范此类非法写操作？

你提到的通过Closure::call()绑定实例读写私有属性是PHP 7.0及以上版本的原生特性，本质是闭包绑定后获得了目标类的作用域访问权限，针对你要阻止私有属性被写入篡改的需求，可参考以下方案：

方案1：使用PHP 8.1+的只读属性（最优解） #

如果你是类的开发方，可直接将需要防篡改的私有属性声明为readonly，该类型属性仅允许在类构造函数中完成初始化赋值，后续任何位置（包括绑定到实例的闭包）尝试修改都会抛出致命错误，实现零成本防护：

class Test{
    // 声明为只读私有属性
    private readonly string $secret;
    public string $public = "You Are Welcome";
    
    public function __construct()
    {
        // 仅允许在构造函数中初始化赋值
        $this->secret = "My_super_secret";
    }
}

$instance = new Test();

// 尝试用闭包修改
(function() {
    $this->secret = "OMG"; // 抛出Error：Cannot modify readonly property Test::$secret
})->call($instance);

方案2：低版本PHP环境下的类内降级防护 #

如果运行环境低于PHP 8.1，可在类内部将敏感属性存入初始化后锁定的私有存储结构，配合拦截逻辑提升篡改成本：

class Test{
    // 用私有数组存储敏感属性
    private array $immutableAttrs = [];
    public $public = "You Are Welcome";

    public function __construct()
    {
        $this->immutableAttrs['secret'] = "My_super_secret";
        // 冻结存储数组，禁止普通场景下的修改
        $this->immutableAttrs = array_map(fn($v) => $v, $this->immutableAttrs);
    }

    // 拦截普通外部写入
    public function __set(string $name, mixed $value): void
    {
        if (array_key_exists($name, $this->immutableAttrs)) {
            throw new LogicException("Cannot modify immutable property {$name}");
        }
        $this->$name = $value;
    }

    // 提供统一的只读读取入口
    public function getSecret(): string
    {
        return $this->immutableAttrs['secret'];
    }
}

该方案仅能拦截常规场景下的属性写入，无法完全阻止闭包绑定后的篡改操作，仅作为低版本环境的降级选项。

方案3：不可修改原类代码时的代理防护 #

如果你使用的是第三方供应商提供的类、无法修改其源代码，可以将类实例封装到只读代理类中，对外只暴露代理实例，拦截所有写入操作，同时避免原实例被外部直接获取：

class ReadonlyProxy
{
    private object $originalInstance;

    public function __construct(object $originalInstance)
    {
        $this->originalInstance = $originalInstance;
    }

    // 转发所有读操作和方法调用
    public function __get(string $name): mixed
    {
        return $this->originalInstance->$name;
    }

    public function __call(string $method, array $arguments): mixed
    {
        return $this->originalInstance->$method(...$arguments);
    }

    // 拦截所有属性写入操作
    public function __set(string $name, mixed $value): void
    {
        throw new LogicException("Cannot modify property of readonly proxied object");
    }

    // 禁止外部直接获取原实例
    private function getOriginalInstance(): never
    {
        throw new LogicException("Cannot access original instance of readonly proxy");
    }
}

// 使用时将第三方类实例包裹到代理中
$proxiedInstance = new ReadonlyProxy(new Test());

注意：PHP的可见性控制属于工程层面的开发规范约束，并非面向恶意攻击的安全防护机制。如果你的场景涉及高敏感数据防护，建议不要将敏感数据明文存储在对象属性中，可额外增加加密、内存隔离等防护手段。

内容的提问来源于stack exchange，提问作者Gianfrancesco Aurecchia