PHP如何实现苹果支付安全校验_苹果支付安全校验PHP实现教程【指南】

苹果IAP支付回调需多重校验：一、调用生产/沙盒验证接口并检查status与字段匹配；二、自动切换环境；三、本地JWT验签；四、幂等处理防重放；五、SSL证书固定防中间人攻击。

如果您在PHP后端处理苹果应用内购买（IAP）的支付回调时，未对交易收据进行有效校验，则可能面临伪造收据、越权获取虚拟商品等安全风险。以下是实现苹果支付安全校验的多种方法：

一、使用苹果官方生产环境收据验证接口（HTTPS POST）

该方法通过向Apple提供的生产验证URL（https://buy.itunes.apple.com/verifyReceipt）提交Base64编码的收据数据，获取经签名的JSON响应，再验证响应中的签名与数据完整性。

1、从客户端获取原始收据数据（通常为base64编码字符串），并将其放入JSON请求体的receipt-data字段中。

2、设置HTTP请求头：Content-Type为application/json，Accept为application/json。

立即学习“PHP免费学习笔记（深入）”；

3、使用cURL或Guzzle发送POST请求至https://buy.itunes.apple.com/verifyReceipt，携带包含receipt-data和可选password（用于加密收据）的JSON体。

4、解析返回的JSON响应，检查status字段是否为0；若为21007，则需转向沙盒环境重试；若为21008，则需转向生产环境重试。

5、验证response中的receipt属性是否存在，且in_app数组中对应transaction_id是否与本地记录一致，务必校验latest_receipt_info中bundle_id、product_id、original_transaction_id与本地订单关键字段完全匹配。

二、启用双向收据验证（生产+沙盒自动切换）

该方法避免因测试环境与线上环境混淆导致的校验失败，通过首次请求生产接口失败后自动降级至沙盒接口（https://sandbox.itunes.apple.com/verifyReceipt），提升容错性与鲁棒性。

1、封装统一验证函数，接收base64_receipt和shared_secret（如有）作为参数。

2、先向生产地址发起验证请求，并记录响应status值。

3、若status为21007（收据来自沙盒但发往生产），立即使用同一收据数据向沙盒地址重发请求。

4、若status为21008（收据来自生产但发往沙盒），则重新向生产地址请求（防止误配沙盒URL）。

5、无论哪条路径成功，均需校验response->receipt->receipt_creation_date_ms时间戳是否在合理业务窗口内，禁止接受创建时间早于订单生成时间或晚于当前时间10分钟以上的收据。

三、本地验签+JWT解析（适用于iOS 11.3+新版收据格式）

iOS 11.3起，苹果收据响应中新增signedDate、signedTransactionInfo等JWT结构字段，支持使用苹果公钥本地验签，降低对外部网络依赖并增强实时性。

1、从苹果开发者门户下载最新WWDR证书（Worldwide Developer Relations Certification Authority），提取其RSA公钥PEM内容。

2、从验证响应的latest_receipt_info或pending_renewal_info中提取jwt字段（若存在），分离header.payload.signature三段。

标签： php word js json cookie 编码 app 苹果 ssl 后端 curl ios apple 状态码