PHP加载目录图片时报508 Loop detected错误的排查求助

508错误触发原因 #

508 Loop Detected是HTTP服务器（Apache/Nginx/CDN都可能抛出）的系统级错误，和代码内的业务循环无关，本质是请求进入了无限重定向/资源回源循环，结合你提供的代码，触发根源有三个：

• 缓存逻辑和服务器配置冲突
  你代码中会把处理后的图片写入./uploaded/cache/目录，文件名是请求QUERY_STRING的MD5值。如果你的Web服务器配置了「静态文件存在时直接返回、不存在才转发给PHP脚本处理」的规则，当缓存目录权限不足、写入失败导致缓存文件没有生成时，每次请求都会再次触发PHP脚本执行，高并发下很容易被服务器的防循环规则拦截。
• 入参校验存在严重漏洞
  你开头的入参处理逻辑存在明显问题：

// 先直接取未过滤的参数赋值给$fromfile
$w = $_GET['w'] ;
$fromfile = $_GET['fromfile']  ;
// 只过滤了$_GET['fromfile']，之前赋值的$fromfile仍然是未过滤的原始值
if(isset($_GET['fromfile']))    $_GET['fromfile'] = str_replace('..', '', $_GET['fromfile'] );

未过滤的$fromfile可能被构造为指向你这个PHP脚本本身的路径，相当于脚本自己请求自己，反复触发执行就会被服务器判定为循环，抛出508错误。

• 错误抑制符滥用掩盖异常
  你代码中大量使用@错误抑制符，比如缓存写入逻辑@$funcall($ou,"./uploaded/cache/".md5($_SERVER["QUERY_STRING"]));，如果缓存目录不存在、没有写入权限，缓存生成失败的错误会被完全掩盖，每次请求都会重复执行完整处理逻辑，进一步放大循环触发概率。

修复方案 #

1. 修复入参校验逻辑 #

调整参数处理顺序，先过滤再赋值，同时增加路径合法性校验，禁止请求PHP类文件，禁止跨目录访问：

// 先判断参数存在性，过滤后再赋值
$fromfile = isset($_GET['fromfile']) ? str_replace('..', '', $_GET['fromfile']) : '';
$w = isset($_GET['w']) ? intval($_GET['w']) : 100;

// 禁止指向PHP类可执行文件
if (preg_match('/\.(php|php5|phtml)$/i', $fromfile)) {
    header("Content-type: image/png");
    echo @imagepng(@ErrorPNG("invalid file type"));
    exit;
}

// 校验文件必须在允许的图片目录范围内，避免路径穿越
$allow_img_path = realpath('./uploaded/images/'); // 替换为你实际存储源图片的目录
$real_file = realpath('./' . $fromfile);
if (!$real_file || strpos($real_file, $allow_img_path) !== 0) {
    header("Content-type: image/png");
    echo @imagepng(@ErrorPNG("file not allowed"));
    exit;
}

2. 修复缓存逻辑 #

提前检查缓存目录的可写性，不要用错误抑制符掩盖异常：

$cache_dir = './uploaded/cache/';
// 目录不存在则自动创建
if (!is_dir($cache_dir)) {
    mkdir($cache_dir, 0755, true);
}
// 目录不可写直接返回错误，避免反复执行逻辑
if (!is_writable($cache_dir)) {
    header("Content-type: image/png");
    echo @imagepng(@ErrorPNG("cache dir not writable"));
    exit;
}

// 写入缓存后增加结果判断，失败可记录日志排查
$cache_file = $cache_dir . md5($_SERVER["QUERY_STRING"]);
$write_res = $funcall($ou, $cache_file);
if (!$write_res) {
    error_log("图片缓存写入失败：" . $cache_file);
}

3. 检查Web服务器配置 #

检查你的Nginx/Apache重写规则，避免出现「静态文件不存在时转发到PHP，PHP处理的资源路径又和静态路径重合」的循环规则，同时可配置单IP短时间内的请求次数限制，拦截异常构造的循环请求。

内容的提问来源于stack exchange，提问作者Sniper Dj