PHP 8.2默认禁用动态属性，直接导致未声明属性的反序列化注入失败（如User::$cmd抛出Creation of dynamic property错误），使依赖该机制的POP链中断；但显式启用#[\AllowDynamicProperties]、继承宽松父类或利用已声明属性仍可绕过，故仍需白名单校验与魔术方法审计。
PHP 8.2 默认禁用动态属性（Dynamic Properties），这项变更不是漏洞修复，但显著削弱了多种反序列化利用链的可行性——它不解决漏洞本身，而是让很多传统攻击手法直接失效。
动态属性弃用如何影响漏洞利用
PHP 7.x 允许类在未声明属性的情况下接收任意字段，攻击者常借此注入恶意数据。例如：
class User {}
// PHP 7.x 下可反序列化成功：
// O:4:"User":1:{s:6:"cmd";s:6:"system";}
// 反序列化后 $user->cmd 存在且值为 "system"PHP 8.2 开始，若 User 类没定义 $cmd 属性，上述操作会抛出 Error: Creation of dynamic property User::$cmd is not allowed，导致反序列化中途失败，POP 链无法继续执行。
立即学习“PHP免费学习笔记（深入）”；
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
直接影响的常见绕过场景
- 利用未声明属性覆盖关键控制字段（如
$file,$template,$callback） - 通过
O:4:"User":1:{s:9:"unknown";s:6:"id";}注入非法属性触发魔术方法 - 借助
__set()或__get()魔术方法间接操控未声明属性（若类中存在宽松逻辑）
但要注意：弃用不等于彻底免疫
- 若类显式启用动态属性（
#[\AllowDynamicProperties]），该限制被绕过 - 继承自允许动态属性的父类（如某些框架基类）仍可能生效
- 攻击者转向已声明属性（如
$path,$logFile）进行覆盖，这类利用在 PHP 8.2 下依然有效
应对建议
- 不依赖“PHP 8.2 自动防御”，仍需对
unserialize()输入做白名单校验（allowed_classes） - 审计所有含
__wakeup、__destruct、__toString的类，确认其属性是否全部显式声明 - 禁用
#[\AllowDynamicProperties]注解，除非业务强依赖（并有额外防护） - 在日志中捕获
Error: Creation of dynamic property，这可能是反序列化攻击的探测痕迹
本质上，这是从语言层收窄攻击面，而非堵住漏洞根源。
