苹果不主动推送支付结果通知，需php服务主动调用验单接口验证receipt-data；若使用中台则需配置https webhook入口并校验签名；nginx可反向代理专用路径实现解耦；调试时须验证tls 1.2、响应状态及日志完整性。
如果您已完成iOS应用内购集成，但服务器无法接收到苹果App Store的支付结果通知，则可能是由于回调地址未正确配置或未启用。苹果官方不提供传统意义上的“主动回调URL”，而是要求开发者主动向其验单接口提交收据进行验证；但部分第三方支付中台或自建服务会模拟回调行为，需在PHP后端明确设置接收与处理路径。以下是实现该功能的多种方法：
一、使用苹果官方验单接口主动轮询（推荐标准方式）
苹果不推送异步回调，必须由您的PHP服务在收到客户端上传的receipt-data后，主动调用苹果验单接口完成验证。此方式无需外部回调地址，但需在业务逻辑中显式触发验单流程。
1、接收iOS客户端POST过来的base64编码收据数据，字段名为receipt-data或receipt。
2、构造JSON请求体，包含receipt-data和可选的password（用于自动续期订阅）。
立即学习“PHP免费学习笔记（深入）”；
3、使用cURL向苹果生产环境验单地址https://buy.itunes.apple.com/verifyReceipt发起POST请求。
4、解析返回的JSON响应，检查status字段值：0表示验单成功且有效，21006表示沙盒票据误发至生产环境，21007表示生产票据误发至沙盒环境。
二、配置Webhook式伪回调入口（适用于中台对接）
当您使用第三方支付中台（如RevenueCat、Swrve等）时，这些平台会将苹果验单结果以HTTP POST形式推送到您指定的URL。此时需在PHP中暴露一个公开可访问的入口脚本，并做好签名与幂等校验。
1、在服务器部署一个独立PHP文件，例如/apple-webhook.php，确保其可通过HTTPS公网访问。
2、在中台后台将该地址填入Webhook配置项，协议必须为https，且域名已通过苹果ATS要求（TLS 1.2+）。
3、在脚本开头验证请求来源Header中的X-Platform-Signature或X-Hub-Signature-256（依中台文档而定），防止伪造请求。
4、读取file_get_contents('php://input')获取原始JSON payload，解析event_type与data.receipt字段。
5、对data.receipt再次调用苹果验单接口二次确认，避免中台缓存或中间劫持风险。
三、Nginx反向代理映射专用回调路径
若您的主应用使用框架路由（如ThinkPHP、Laravel），直接暴露裸PHP文件存在安全与维护隐患，可通过Nginx将特定路径统一转发至统一验单处理器，实现路径解耦与权限隔离。
1、编辑Nginx站点配置，在server块中添加location规则：
2、配置location /v1/apple/notify { proxy_pass http://127.0.0.1:8000/apple-verify; }，指向本地PHP-FPM监听端口或FastCGI路由。
3、确保该路径被加入HTTPS强制跳转白名单，且不经过任何CDN缓存（添加Cache-Control: no-cache响应头）。
4、在目标PHP脚本中校验$_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https'，拒绝非加密请求。
5、记录完整原始请求头与body至日志，便于后续审计与苹果合规审查。
四、验证回调地址可用性的本地调试方法
在正式上线前，必须验证回调路径是否能被苹果或中台服务正常访问。由于苹果不主动回调，此处特指中台或测试工具发起的模拟请求验证环节。
1、使用curl命令从服务器本地发起测试请求：curl -X POST https://yourdomain.com/apple-webhook.php -H "Content-Type: application/json" -d '{"event":"purchase","data":{"receipt":"base64_string"}}'。
2、检查PHP脚本是否返回HTTP 200状态码及{"status":"success"}类响应体。
3、查看错误日志确认openssl扩展已启用，且cURL支持TLS 1.2以上版本（苹果强制要求）。
4、在脚本中插入error_log("Received: " . print_r($_REQUEST, true), 3, "/tmp/apple-hook.log");，确认参数完整接收。
5、验证$_SERVER['REMOTE_ADDR']是否为可信IP段（如中台提供的固定出口IP），否则拒绝处理。
