PHP 7.0 并未引入类属性默认访问修饰符，未声明修饰符的属性自 PHP 5.0 起即默认为 public；public 属性易致数据泄露，因其允许外部直接读写、序列化明文暴露、反序列化触发 POP 链、JSON 全量输出敏感字段。
PHP 7.0 并没有为类属性引入“默认访问修饰符”——这是常见误解。在 PHP 中，任何未显式声明 public、protected 或 private 的类属性，都会被解释为 public，且该行为自 PHP 5.0 起就已存在，并非 PHP 7.0 新增特性。所谓“PHP 7.0 类属性默认访问属性造成数据泄露”，本质是开发者忽略了访问控制，把本应封装的敏感字段直接声明为 public，导致外部可随意读写，进而引发数据泄露风险。
为什么 public 属性容易导致数据泄露
当属性设为 public，意味着：
- 外部代码可直接赋值，绕过任何校验逻辑（如密码强度、邮箱格式）
- 序列化后，所有 public 属性会明文出现在字符串中（如
O:4:"User":2:{s:4:"name";s:5:"Alice";s:8:"password";s:8:"12345678";}），若该串被记录、缓存或返回前端，密码即暴露 - 反序列化时，攻击者可构造恶意 public 属性值，触发 POP 链中的危险操作（如
__wakeup中调用unserialize($this->payload)） - API 响应若直接
json_encode($user)，public 属性全量输出，可能意外泄露$user->api_token、$user->salt等敏感字段
真实泄露场景示例
某后台用户模型曾这样定义：
class User {
public $id;
public $username;
public $email;
public $password_hash; // ❌ 本应 private
public $reset_token; // ❌ 本应 private + 限时有效
}
问题出现在两个环节：
立即学习“PHP免费学习笔记（深入）”；
- 管理员调试时执行
var_dump($user)，错误地将整个对象打印到日志文件，而日志服务器配置不当，允许外部访问/logs/debug.log→$password_hash和$reset_token被下载 - 前端调用
/api/user/profile接口，后端代码为：return json_encode(['data' => $user]);→ 所有 public 属性被输出，包括本不该暴露的 token 字段
如何避免这类泄露
核心原则：**属性最小可见性**。具体做法：
- 所有属性默认声明为
private，仅在必要时提升为protected（如供子类扩展） - 提供受控的访问方式：用
public function getPasswordHash()替代直接暴露$user->password_hash - 序列化前清理敏感字段：重写
__sleep()方法，只返回安全字段名数组 - JSON 输出前做白名单过滤：不依赖
json_encode($obj)，而是显式构造数组：['id' => $u->getId(), 'username' => $u->getUsername()]
补充：PHP 7.4+ 的类型属性不改变这一规则
PHP 7.4 引入了类型化属性（如 private string $name;），但它没有改变可见性默认行为——不写修饰符仍等价于 public。反而因类型声明更“顺手”，新手可能更快写出 public string $password; 这类高危代码。务必养成“先写修饰符，再写类型和名称”的习惯。
