必须在Apple IAP验签请求中显式包含password字段（即App Store Connect配置的shared secret），且receipt-data需为原始Base64字符串，不可二次编码或转义；否则将触发status=21004等错误。
如果您在集成苹果内购（IAP）服务时需要向 Apple 验证服务器提交 receipt-data 并附带签名验证，必须正确构造包含 shared secret 的请求体。以下是生成该签名请求的多种实现方法：
一、使用 password 字段直接构造 JSON 请求体
苹果要求对自动续订订阅类商品进行验签时，必须在请求 payload 中显式传入 password 字段，其值为 App Store Connect 中配置的 shared secret。该字段不可省略，即使验证的是非订阅型商品，只要账户曾创建过自动续订产品，也需携带。
1、从 App Store Connect 后台获取 shared secret：进入“App > 内购项目 > 共享密钥”，复制 32 位十六进制字符串。
2、将 receipt-data 值 Base64 编码后的原始字符串（非 URL 安全编码）与 password 组合成标准 JSON 对象。
立即学习“PHP免费学习笔记（深入）”；
3、确保 receipt-data 字段值未被二次 Base64 编码或 URL 转义，保持原始 Apple 返回的完整字符串。
4、使用 curl 或 file_get_contents 向对应环境 endpoint 发起 POST 请求，Content-Type 必须设为 application/json。
二、使用 cURL 封装带 password 的验签请求
该方法通过原生 PHP cURL 显式控制请求头与数据格式，避免 JSON 序列化过程中的意外截断或编码错误，适用于生产环境高稳定性要求场景。
1、定义 $receiptData 变量，赋值为客户端传来的原始 receipt-data 字符串（长度通常为 8000+ 字符）。
2、定义 $sharedSecret 变量，赋值为 App Store Connect 获取的 32 字符 shared secret。
3、构建 $postData 数组：array('receipt-data' => $receiptData, 'password' => $sharedSecret)。
4、调用 json_encode($postData, JSON_UNESCAPED_SLASHES | JSON_UNESCAPED_UNICODE) 生成紧凑 JSON 字符串。
5、初始化 cURL 句柄，设置 CURLOPT_URL 为沙盒或生产地址，CURLOPT_POSTFIELDS 为上步 JSON，CURLOPT_HTTPHEADER 为 ['Content-Type: application/json']。
三、封装可复用的验签函数并处理多状态响应
苹果验签接口返回 JSON 包含 status 字段，不同数值代表不同校验结果。签名本身不参与加密运算，但 password 的存在与否直接影响 status=21004 等关键错误是否触发，因此函数需强制校验 password 传入逻辑。
1、声明函数 ifReceiptValid($receipt, $isSandbox = false, $password = '')，其中 $password 参数默认为空但实际调用时必须传入有效值。
2、在函数开头添加判断：若 $password 为空且 $isSandbox 为 false，则抛出 InvalidArgumentException 提示缺失共享密钥。
3、根据 $isSandbox 选择 endpoint：沙盒为 https://sandbox.itunes.apple.com/verifyReceipt，生产为 https://buy.itunes.apple.com/verifyReceipt。
4、构造 $postData 时始终包含 'password' 键，即使值为空字符串（防止因键缺失导致 21004）。
5、执行 curl 请求后，对返回内容做 json_decode，检查 status 是否为 0；若为 21004，则确认 $password 与 App Store Connect 中完全一致（区分大小写、无空格、无换行）。
四、使用 stream_context_create 替代 cURL 发起请求
在部分受限服务器环境中 cURL 可能被禁用，此时可采用 PHP 原生 stream_context_create + file_get_contents 方式发起 HTTPS POST 请求，同样支持 JSON 数据提交与 header 设置。
1、准备 $options 数组，顶层键为 http，子键包括 method => 'POST', header => "Content-type: application/json\r\n"，content => json_encode(...)
2、调用 stream_context_create($options) 创建上下文资源。
3、使用 file_get_contents($endpoint, false, $context) 执行请求，注意捕获 warning 级错误以判断连接失败。
4、对返回结果做 json_decode，提取 status 与 receipt 字段；若 status ≠ 0，则优先比对 password 是否与 App Store Connect 页面中显示的字符逐字相同。
五、签名相关字段的校验与调试要点
苹果验签不涉及客户端本地签名算法，但 password 字段的传输完整性等效于“签名凭证”。其有效性依赖于服务端构造时的精确性，任何格式偏差均会导致 21004 错误。
1、检查 $password 是否从 App Store Connect 复制时混入不可见 Unicode 字符（如零宽空格），建议粘贴至十六进制编辑器验证。
2、确认 receipt-data 字符串未被 trim()、urldecode() 或 htmlspecialchars() 等函数意外处理，应保持原始 Base64 字符序列。
3、在沙盒环境测试时，若收到 status=21007，说明请求发往了生产 endpoint，需强制将 $isSandbox 设为 true 并使用 sandbox.itunes.apple.com 地址。
4、若连续返回 status=21005，表明苹果服务器临时不可用，应记录时间戳并延迟重试，而非修改 password 或 receipt-data。
