Почему хранение serialized конфига предпочтительнее нативного php?

Question

[Jemeron]

Читал в интернетах, что хранить настройки приложения php выгодно хранить в сериализованном виде.

Но ведь чтобы его потом получить, нужно будет выполнить операцию unserialize. Почему же тогда хранить уже сразу в чистом php типа
<?php return array( . . . );
считается более медленным путем? Потому что так файл будет длиннее или как?

Например, статья на Хабре: Самые быстрые настройки для PHP-скриптов

Comments

[Александр Батухтин]

А можно ссылочку, где такое написано?

[Jemeron]

@0lorin добавил ссылку на интересную статью на Хабре

Answer 1

[m-haritonov]

1. По-поводу скорости.

Без акселераторов unserialize(file_get_contents('...')) у меня выполняется быстрее, чем include '...' примерно в 2-3 раза. Можно объяснить это тем, что при include выполняется парсинг PHP кода и, в отличии от unserialize, необходимо распознавать намного больше языковых конструкций (в include версии можно, например, в качестве значения указать вызов функции; в unserialize — нет).

С акселератором (я использовал opcache) ситуация прямо противоположная — include '...' быстрее, чем unserialize(file_get_contents('...')) примерно в 2-3 раза.

Итог: поскольку акселератор можно настроить так, чтобы он не влиял на корректность работы PHP скрипта, побеждает include.

2. Безопасность.

Если PHP скрипту необходимо не только читать конфигурационный файл, но и производить запись в него, то на конфигурационный файл будут выставлены соответствующие права и появится потенциальная дыра в безопасности (связанная с тем, что кто-либо теперь сможет изменить код исполняемого PHP файла). В случае unserialize такой опасности нет.

Также unserialize подходит, если конфигурационный файл поступает из ненадёжного источника (например, получается с другого сервера по HTTP и по пути может быть изменён злоумышленником; или, например, квалификации администратора недостаточно для редактирования PHP кода и он может допустить в нём ошибку в случае варианта с include).

Итог: в номинации "безопасность" побеждает unserialize.

Answer 2

[Назар Мокринский]

А ещё тестировал сам и видел статьи - json_encode/decode() быстрее serialize/unserialize(), и для хранения конфигов их достаточно.

Comments

[m-haritonov]

У меня в среднем выходит, что unserialize чуть быстрее json_decode:

<?php
/**/ print (isset($_startTime_) ? 'Execution time: ' . number_format(microtime(true) - $_startTime_, 10) . ' seconds' . "\r\n" : ''); $_startTime_ = microtime(true);

for ($i = 0; $i < 100; $i++)
{
	$a = include __DIR__ . '/test2.php';
}

/**/ print (isset($_startTime_) ? 'Execution time: ' . number_format(microtime(true) - $_startTime_, 10) . ' seconds' . "\r\n" : ''); $_startTime_ = microtime(true);

for ($i = 0; $i < 100; $i++)
{
	$a = unserialize(file_get_contents(__DIR__ . '/test3.php'));
}

/**/ print (isset($_startTime_) ? 'Execution time: ' . number_format(microtime(true) - $_startTime_, 10) . ' seconds' . "\r\n" : ''); $_startTime_ = microtime(true);

for ($i = 0; $i < 100; $i++)
{
	$a = json_decode(file_get_contents(__DIR__ . '/test4.php'));
}

/**/ print (isset($_startTime_) ? 'Execution time: ' . number_format(microtime(true) - $_startTime_, 10) . ' seconds' . "\r\n" : ''); $_startTime_ = microtime(true);

for ($i = 0; $i < 100; $i++)
{
	$a = json_decode(file_get_contents(__DIR__ . '/test4.php'), false, 1);
}

/**/ print (isset($_startTime_) ? 'Execution time: ' . number_format(microtime(true) - $_startTime_, 10) . ' seconds' . "\r\n" : ''); $_startTime_ = microtime(true);

Вывод:

Execution time: 0.0024001598 seconds
Execution time: 0.0056669712 seconds
Execution time: 0.0069279671 seconds
Execution time: 0.0025250912 seconds

PHP 5.5.11, opcache включён. В тесте использовались массивы вида array('aaa', 'aaa', ...).

[Назар Мокринский]

@mkharitonov Возможно зависит от структуры и размера. Правильно что делаете тесты. Я в целом не использую serialize() ибо вывод читать сложнее, редактировать руками сложнее, и нельзя передать при необходимости через в JavaScript или апликуху, ибо парсить JSON умеют все, а с таким форматом всё не так тривиально.

[m-haritonov]

Согласен. Однако JSON, в отличии от serialize, не подходит для полноценного сохранения массива или объекта PHP (поддерживаемые типы данных в JSON и в PHP разные). Например:

<?php
class Test {}
var_dump(json_decode(json_encode(new Test())));
var_dump(unserialize(serialize(new Test())));

Выведет:

object(stdClass)#1 (0) {
}
object(Test)#1 (0) {
}