foreach遍历对象仅访问public属性，private/protected属性被跳过；强制转数组后私有属性键名为"\0ClassName\0propName"，含不可见字符且JSON序列化会丢失，应避免使用，推荐toArray()方法或var_export()。

直接用 foreach 遍历对象，根本访问不到私有（private）和受保护（protected）属性——它们会被完全跳过，不会出现在循环中。

这是因为 PHP 的 foreach ($obj as $key => $value) 语义等价于遍历 get_object_vars($obj) 的结果，而该函数只返回 public 属性。私有属性既不暴露，也不触发 __get() 魔术方法，相当于“不可见”。

---

私有属性在强制转数组后会怎样？

如果你先用 (array)$obj 把对象转成数组，再 foreach 遍历这个数组，情况就不同了：

• ✅ public 属性：变成普通键名，如 'name' => 'Tom'
• ⚠️ protected 属性：键名被包装为 \0*\0propName（注意开头的空字符和星号）
• ⚠️ private 属性：键名被包装为 \0ClassName\0propName（含类名，且含不可见字符）

例如：

class User {
    public $name = 'Alice';
    protected $email = 'a@example.com';
    private $token = 'xyz123';
}
$obj = new User();
$arr = (array)$obj;
foreach ($arr as $k => $v) {
    var_dump($k, $v);
}

输出中你会看到类似：

string(4) "name" → string(5) "Alice"
string(13) "*email"     → string(15) "a@example.com"
string(17) "Usertoken" → string(6) "xyz123"

这类键名含不可见字符，直接写 $arr['token'] 会失败；用字符串字面量匹配需手动拼接 \0User\0token，极易出错，也破坏可读性。

---

常见问题与风险

• 键名无法直写：\0 是空字节，PHP 字符串中需用 "\0User\0token" 才能访问，但 IDE 不友好、易误写
• JSON 序列化丢失：json_encode((array)$obj) 会忽略所有带 \0 的键，私有/受保护属性彻底消失
• foreach 中难以判断属性可见性：循环里看不出哪个是 public，哪个是 mangled，调试困难
• 类型混淆：(array)$obj 不是真正“转换”，只是底层内存结构的映射，行为不稳定，不推荐用于业务逻辑

---

更安全的做法

• ✅ 若只需 public 属性：直接 foreach ($obj as $k => $v) —— 简洁、明确、无副作用
• ✅ 若需完整属性（含 private/protected）：在类内定义 toArray() 方法，显式返回可控结构
• ✅ 若需调试或序列化：用 var_export($obj, true) 或 print_r($obj)，它们会如实显示所有属性及可见性标识
• ❌ 避免依赖 (array)$obj + foreach 来“提取私有数据”——这不是设计意图，也不具备可维护性