PHP对象序列化的安全性如何,是否可以安全地传递页面？(使用phpXMLrpc)

Question

基本上这就是我在做的事情:

我使用PHPXMLRPC与Odoo进行通信.

从本质上讲,我需要发送的每个请求都需要遵循以下结构:

//The database I wish to connect too
$msg->addParam(new xmlrpcval($this->dbname, "string"));

//The logged in user id
$msg->addParam(new xmlrpcval($this->userID, "int"));

//The logged in users password
$msg->addParam(new xmlrpcval($this->password, "string"));

//The model
$msg->addParam(new xmlrpcval("project.project", "string"));

//The method Im requesting to call
$msg->addParam(new xmlrpcval("read", "string")); 

//Query parameters
$msg->addParam(new xmlrpcval($id_list, "array")); 
$msg->addParam(new xmlrpcval($field_list, "array")); 

现在我编写了一个类,在其构造函数中将实例变量设置为传递给其构造函数的值,即

class PHPClient{
   private $userName;
   private $password;
   private $dbname;
   private $server_url;
   private $userID;



public function __construct($server_url, $database, $user, $password)
{
    $this->server_url = $server_url;
    $this->dbname = $database;
    $this->userName = $user;
    $this->password = $password;
    $this->userID = False;


}

在某些情况下,我希望在其他地方再次使用同一个对象,也许在另一个页面中.而不是要求用户再次有效地"登录"并再次输入他们的所有细节,然后必须创建另一个对象,这将足够安全地序列化PHPClient对象并存储在会话中然后在我需要使用的任何其他页面中对象,以验证用户是否已登录并具有足够的权限,然后反序列化该对象以执行任何进一步的RPC请求？

Answer 1

您可以安全地序列化请求.您甚至可以安全地将用户输入放入数据中,然后将其序列化.

但是,永远不要反序列化用户可能修改的数据.例如,永远不要反序列化cookie或表单有效负载,或其他服务器发送给您的任何内容.

所以,是的,序列化以在会话中存储数据是完全安全的.