PHP 8.4未新增对象转数组函数，但可通过json_encode/json_decode（需校验错误）、ReflectionClass结合属性钩子、或自定义toArray()方法实现健壮转换，并须防范CVE-2026-109618/109619等安全风险。
PHP 8.4 本身没有新增专门用于“对象转数组”的内置函数，但结合其新特性和原有机制，可以构建更健壮、更可控的嵌套对象转数组方案。关键不在于换一个函数，而在于规避老方法的缺陷，并利用 8.4 的能力加固边界。
优先用 json_encode + json_decode（简洁但需兜底）
这仍是最快捷兼容嵌套的方式，8.4 对 JSON 序列化做了底层加固，但对不可序列化内容更严格：
- 必须提前检查
json_encode()是否返回false，不能只靠=== false判断，要加类型校验 - 资源（resource）、闭包（Closure）、含循环引用的对象，在 8.4 中会直接失败，不是静默跳过
- 示例写法：
$arr = json_decode(json_encode($obj), true);
if ($arr === null && json_last_error() !== JSON_ERROR_NONE) {
throw new RuntimeException('Object contains unserializable data or malformed UTF-8');
}
用 ReflectionClass + 属性钩子逻辑协同处理（精准可控）
PHP 8.4 的属性钩子（Property Hooks）虽不改变反射行为，但让你能更自然地暴露受控值——在反射读取前，先通过 get 访问器获取“净化后”的值：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 遍历对象属性时，对每个 public/protected/private 属性尝试调用其
get访问器（若存在），再递归处理返回值 - 对无访问器的私有属性，仍可用
ReflectionProperty::setAccessible(true)读取，但需注意 8.4 对反射访问的错误提示更明确 - 建议封装为递归函数，对数组、对象、标量分别分支处理，避免无限递归（可加深度限制或已访问对象哈希缓存）
为 ORM 或 DTO 场景定制转换逻辑（推荐业务层使用）
如果你的对象是实体类（如 User、Order），不要依赖通用转换，而是主动定义导出契约：
立即学习“PHP免费学习笔记（深入）”；
- 在类中添加
toArray()方法，内部显式调用各属性的 getter（包括 8.4 的get =>钩子），并控制嵌套关系 - 配合 8.4 新增的
array_find()等函数，可在转换过程中做条件过滤，比如只导出非空关联对象 - 这样既避开不可序列化风险，又保留业务语义，还能与 Doctrine/Eloquent 的序列化配置共存
注意两个安全强相关细节
2026 年曝出的 CVE-2026-109618/109619（PHP2Shell）漏洞虽不直接作用于转换逻辑，但提醒你：
- 任何从用户输入构造的对象（如反序列化请求体），在转数组前必须经过完整校验，不能假设“转成数组就安全了”
- 若使用 PHP-FPM，升级到 8.4.27 后务必重启进程，否则旧内存状态可能让恶意构造的对象绕过部分防护
