PHP Unserialize: WordPress-Optionen und serialisierte Daten dekodieren

PHP serialize() erzeugt eine typisierte Zeichenkette, unserialize() stellt den Wert wieder her. FastMinify bildet diese Trennung nach: php-serialize kodiert JSON oder PHP-Array-Syntax in a:/s:/i:-Tokens, php-unserialize dekodiert sie. Fügen Sie keinen serialisierten Blob in den Serializer ein und kein JSON in den Unserializer. Weitere Hilfsprogramme finden Sie im Hub Entwickler-Utilities.

Der Core und viele Plugins rufen maybe_serialize() / maybe_unserialize() auf. Ist der Wert ein PHP-Array (oder ein Objekt), speichert MySQL ihn als serialize()-String. Skalare (einfache Strings, Zahlen) bleiben unverändert, deshalb beginnt nicht jede Zeile mit a:.

In PHP kann unserialize() bei nicht vertrauenswürdigen Eingaben Objekte instanziieren und Gadget-Chains auslösen (Object Injection). FastMinify liest das Format in JavaScript. Es führt nie PHP aus und dekodiert weder O:-Klassenobjekte noch R:-Referenzen. Das ist eine Grenze und eine Sicherheitseigenschaft zugleich. Nutzen Sie das Tool, um Array-Dumps zu prüfen. Ein erfolgreiches Dekodieren bedeutet nicht, dass sich der Payload in Produktion bedenkenlos mit unserialize verarbeiten lässt.

Jedes Token beginnt mit einem Buchstaben. Der FastMinify-Unserializer akzeptiert dieselbe Teilmenge, die er auch serialisieren kann: null, bool, int, float, String und verschachtelte Arrays. Objekte und Referenzen führen zu einem Fehler und werden nicht stillschweigend übersprungen.

Anhangs-Metadaten und manche benutzerdefinierten Felder (etwa ACF-Beziehungs- oder Checkbox-Felder) sind Arrays aus Zahlen und Zeichenketten. Das ist genau die Teilmenge, die dieser Parser verarbeitet. Fügen Sie die Zelle ein, klicken Sie auf Deserialisieren und kopieren Sie das JSON.

PHP-Sessiondateien und manche Laravel-Cache-Treiber speichern serialize()-Nutzlasten. Ist der Wert ein Array aus Skalaren, funktioniert das Tool im Browser. Bei einem Eloquent-Modell, einer Carbon-Instanz oder einer beliebigen O:-Klasse gibt FastMinify eine eindeutige Fehlermeldung aus. Das ist so gewollt, denn das Tool gibt nicht vor, das unserialize von PHP zu sein.

Öffnen Sie den PHP-Unserializer, fügen Sie eine einzelne serialisierte Zeichenkette ein und klicken Sie auf Deserialisieren. Die Ausgabe ist standardmäßig JSON (Einzug 2, Leerzeichen). Wechseln Sie zur PHP-Array-Syntax, wenn Sie das Ergebnis in ein Skript zurückkopieren. Alles bleibt im Tab, ohne Konto und ohne Serveraufruf.

Ein Seitenleisten-Widget ist nach einer Migration leer. Die Option widget_* ist ein serialisiertes Array. Sie müssen sehen, welche Schlüssel erhalten geblieben sind, statt sie aus einer Zelle mit 400 Zeichen zu erraten.

Redis zeigt einen Wert, der mit a: beginnt. Sie möchten wissen, welche Konfigurationsschlüssel in der Nutzlast stecken, bevor Sie den Schlüssel löschen.

Enthält der Blob Objekte oder arbeiten Sie in einem Deployment-Skript, dekodieren Sie in PHP, ohne Klassen zu instanziieren. Objekte der Klasse __PHP_Incomplete_Class nennen den Klassennamen, ohne Konstruktoren auszuführen. FastMinify ersetzt diesen Schutz nicht.

Der WordPress-Core kennt das Format bereits. maybe_unserialize() liefert Arrays als Arrays, und WP-CLI gibt JSON aus, sodass Sie Längenangaben nie von Hand ändern. Nutzen Sie FastMinify, wenn Ihnen nur ein SQL-Export oder ein Text aus einem Ticket vorliegt. Schreiben Sie zurück über die WordPress-APIs, nicht per rohem UPDATE auf einen von Hand geänderten serialize()-String.

Dekodieren Sie mit php-unserialize, bearbeiten Sie das JSON und kodieren Sie es mit php-serialize. Verschachtelte JSON-Objekte werden zu PHP-Arrays, nicht zu O:-Objekten. Wer Schlüssel sortiert oder Nullwerte und leere Strukturen entfernt, ändert, was er zurückschreibt. Die Dokumentation des Tools sagt es deutlich: Es ist kein byte-genaues Werkzeug für WordPress-SQL-Migrationen. Für CSS und JS derselben Seite nutzen Sie den WordPress-Minifizierungsleitfaden, eine andere Pipeline.