需配置openssl、curl、苹果共享密钥、验证函数及运行权限：一、启用openssl扩展；二、确保curl支持https并合理设置ssl校验；三、配置shared secret与环境标识；四、编写含状态码处理的验证函数；五、检查网络、文件权限与密钥隔离。
如果您计划在 PHP 环境中接入 Apple Pay（IAP）支付验证功能，但服务端尚未配置必要的依赖与通信能力，则可能是由于 OpenSSL、cURL 或苹果验证接口调用环境缺失所致。以下是搭建苹果支付 PHP 服务端验证环境的具体步骤：
一、安装并启用 OpenSSL 扩展
OpenSSL 是 PHP 验证苹果支付凭证（receipt-data）所必需的加密支持组件，用于安全地发起 HTTPS 请求并与苹果服务器通信。若未启用，将无法完成证书校验及 JSON 数据加解密操作。
1、检查当前 PHP 是否已启用 OpenSSL：php -m | grep openssl
2、若无输出，需启用扩展：编辑 php.ini 文件，取消注释或添加 extension=openssl
立即学习“PHP免费学习笔记（深入）”；
3、重启 Web 服务（如 Apache 或 Nginx）使配置生效
4、运行 php -r "echo extension_loaded('openssl') ? 'enabled' : 'disabled';" 确认返回 enabled
二、确保 cURL 支持 HTTPS 且禁用 SSL 校验（沙盒调试阶段）
苹果验证接口（https://sandbox.itunes.apple.com/verifyReceipt 和 https://buy.itunes.apple.com/verifyReceipt）强制要求 HTTPS 协议。cURL 必须支持 TLS 并能正确处理苹果服务器证书链；但在开发初期可临时禁用证书验证以排除环境干扰。
1、检查 cURL 是否可用：php -r "echo function_exists('curl_init') ? 'available' : 'missing';"
2、确认 cURL 支持 HTTPS：php -r "var_dump(curl_version()['features'] & CURL_VERSION_SSL);"，非零即支持
3、在验证函数中显式设置：curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0); curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
4、生产环境必须移除上述两行，并配置系统 CA 证书路径：curl_setopt($ch, CURLOPT_CAINFO, '/etc/ssl/certs/ca-certificates.crt');
三、配置苹果共享密钥（shared secret）与环境标识
shared secret 是 iTunes Connect 中为应用内购项目生成的安全密钥，用于防止凭证伪造。该密钥必须与请求体一同提交，否则将返回状态码 21004。同时需明确区分沙盒与生产环境，避免因环境错配导致 21007/21008 错误。
1、登录 App Store Connect → My Apps → 选择应用 → Features → In-App Purchases → Configure → App-Specific Shared Secret
2、复制生成的 32 位十六进制字符串，保存为常量（如 IOS_SHARED_SECRET）
3、根据客户端传入标识或订单来源，动态选择验证地址：sandbox.itunes.apple.com（测试）或 buy.itunes.apple.com（上线）
4、构造 POST 数据时必须包含 password 字段，值为 shared secret
四、编写基础验证函数并处理响应状态码
苹果验证接口返回 JSON 响应，其中 status 字段决定凭证有效性。不同 status 值对应不同业务含义，必须逐项判断，不可仅依赖布尔真假。
1、定义验证函数签名：function validateAppleReceipt($receiptData, $isSandbox = false, $sharedSecret = '')
2、构建请求体：$postData = json_encode(['receipt-data' => $receiptData, 'password' => $sharedSecret]);
3、发送 POST 请求后，使用 json_decode($response, true) 解析结果
4、判断 $data['status'] === 0 表示有效；若为 21007，需自动切换至沙盒地址重试一次
五、部署运行时依赖与权限检查
PHP 进程需具备网络出站权限、临时文件写入权限（用于日志记录），以及对敏感配置（如 shared secret）的读取隔离能力。Web 服务器用户（如 www-data 或 nginx）不得拥有对配置文件的写权限。
1、确认 PHP 进程可访问外网：sudo -u www-data php -r "print_r(file_get_contents('https://httpbin.org/get'));"
2、检查临时目录可写：sudo -u www-data touch /tmp/apple_test && rm /tmp/apple_test
3、将 shared secret 存于独立配置文件（如 /etc/php-apple-secrets.php），并设权限为 600
4、在主逻辑中使用 require_once 引入，禁止硬编码或通过 URL 参数传递
