将敏感数据存储为PHP类的protected/private属性是否为不良实践？

你说得完全对——var_dump()这类调试函数会一股脑把对象的所有属性（包括protected、private）都输出出来，哪怕是像$sensitive这种我们不想暴露的敏感数据。不过PHP给我们提供了一个非常好用的魔术方法__debugInfo()，正好能解决这个问题。

__debugInfo()的作用很简单：当你调用var_dump()调试对象时，PHP会自动触发这个方法，用它返回的数组来替代对象的原始属性集合进行输出。也就是说，我们可以在这个方法里自定义哪些属性能被看到，哪些要被隐藏。

给你补全完整的实现代码：

class Example {
    protected $sensitive;
    public $publicData; // 假设还有公开属性需要展示

    public function __construct($sensitiveData, $publicData) {
        $this->sensitive = $sensitiveData;
        $this->publicData = $publicData;
    }

    public function __debugInfo() {
        // 获取对象的所有属性
        $debugProperties = get_object_vars($this);
        // 移除敏感属性
        unset($debugProperties['sensitive']);
        // 返回处理后的属性集合
        return $debugProperties;
    }
}

// 测试调用
$testObj = new Example('my-top-secret-token', 'public-user-data');
var_dump($testObj);

运行这段代码后，var_dump()只会输出publicData属性，sensitive会被完全隐藏。

如果你不想完全移除敏感属性，而是想给调试者一个“这个属性存在但被保护”的提示，也可以直接返回自定义的数组：

public function __debugInfo() {
    return [
        'publicData' => $this->publicData,
        'sensitive' => '[PROTECTED SENSITIVE DATA]' // 用占位符替代真实数据
    ];
}

这样调试时既能看到属性的存在，又不会泄露敏感内容，非常灵活。

注意：__debugInfo()是PHP 5.6.0及以上版本才支持的，现在主流的PHP环境都满足这个版本要求，不用太担心兼容性问题。

内容的提问来源于stack exchange，提问作者no.