如何不通过@抑制符修复PHP unserialize()函数报错问题

你的问题根源很清晰：当$record['c_value']不是合法的序列化字符串时（比如mg_notification_msv对应的to.aaaa.org），直接调用unserialize()会触发Notice错误——虽然你后续会回退到原字符串，但错误已经产生了。不用@抑制的话，核心思路是先判断字符串是否是合法的序列化格式，再决定是否调用unserialize。

下面是具体的解决方案：

方法1：添加序列化字符串检测函数 #

先实现一个可靠的辅助函数，用来判断输入字符串是否符合PHP序列化格式的规范，只有通过检测的字符串才去调用unserialize()。

修改后的代码 #

public function db_get_config($key, $default = null) {
    if (!empty($key)) {
        $record = $this->db->from($this->tables['config'])->where(array('c_key' => $key))->limit(1)->get()->row_array();
        if (!empty($record)) {
            $value = $record['c_value'];
            // 先验证是否为合法序列化字符串，再决定是否反序列化
            if ($this->is_serialized($value)) {
                $unserialized = unserialize($value);
                // 额外确认反序列化成功（避免极端边缘情况）
                if ($unserialized !== false) {
                    $value = $unserialized;
                }
            }
            return $value;
        }
    }
    return $default;
}

/**
 * 检查字符串是否为合法的PHP序列化格式
 * @param mixed $data 待检测的数据
 * @return bool
 */
private function is_serialized($data) {
    if (!is_string($data) || trim($data) === '') {
        return false;
    }
    
    $trimmed = trim($data);
    // 处理null的序列化情况
    if ($trimmed === 'N;') {
        return true;
    }
    
    // 匹配序列化类型前缀（a:数组, O:对象, b:布尔, i:整数, s:字符串）
    if (!preg_match('/^([adObis]):/', $trimmed, $type_matches)) {
        return false;
    }
    
    $type = $type_matches[1];
    switch ($type) {
        case 'a':
        case 'O':
            // 数组/对象格式：类型:长度:{内容}
            return preg_match('/^[aO]:\d+:{.*}$/s', $trimmed);
        case 'b':
        case 'i':
            // 布尔/整数格式：类型:值;
            return preg_match('/^[bi]:\d+;$/', $trimmed);
        case 's':
            // 字符串格式：s:长度:"内容";
            if (preg_match('/^s:(\d+):"(.*?)";$/s', $trimmed, $string_matches)) {
                // 验证字符串实际长度是否和声明的长度一致（防止篡改的序列化字符串）
                return strlen($string_matches[2]) == (int)$string_matches[1];
            }
            return false;
        default:
            return false;
    }
}

为什么这个方法有效？ #

• 提前拦截了非序列化字符串，只对符合格式的内容调用unserialize()，从根源避免了错误触发。
• 额外验证了字符串长度（针对字符串类型的序列化数据），还能防止一些恶意篡改的序列化字符串导致的问题。
• 保留了你原本的逻辑：反序列化失败时回退到原字符串（虽然通过检测后失败的概率极低，但还是做了兜底）。

其他可选思路（如果允许轻度使用@） #

如果你能接受极少量的@（仅用于边缘情况检测），也可以用这种更简洁的方式：

public function db_get_config($key, $default = null) {
    if (!empty($key)) {
        $record = $this->db->from($this->tables['config'])->where(array('c_key' => $key))->limit(1)->get()->row_array();
        if (!empty($record)) {
            $value = $record['c_value'];
            // 尝试反序列化，用@抑制单次错误，同时检查结果
            $unserialized = @unserialize($value);
            if ($unserialized !== false) {
                $value = $unserialized;
            }
            return $value;
        }
    }
    return $default;
}

这种方式代码更简洁，但本质是用@抑制了错误，不过只在必要的地方使用，相比全局抑制更可控。但显然第一种方法更符合你“不通过抑制”的需求。

内容的提问来源于stack exchange，提问作者Sinto