待验证50% 置信事实精确时间

PHP 的 unserialize() 函数会把用户可控字符串还原为对象，并自动触发 wakeup()、destruct() 等魔术方法。

1

来源数

50%

置信度

长期有效

时效性

2026/10/21

首次发现

来源

OpenAI 启动 Patch the Planet：AI 挖出 PHP 漏洞后的全球修复协调

涉及实体

PHPconcept unserialize()concept

相关事实

待验证PHP庞大的动态特性（魔术方法、动态属性、eval、反射等）对静态编译构成难题64% 相似待验证openai-php/client 的 createStreamed() 会自动设置 stream: true；开启 include_usage 后最后一个 chunk 的 choices 是空数组，读取前必须用 isset 判断。53% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/1081088

API

curl https://kongchang.com/api/v1/knowledge/claims/1081088

MCP

get_claim(id=1081088)