必须使用符合Apple规范的加密机制：一、用OpenSSL实现AES-256-CBC加解密；二、用applepay-php扩展解密PKPaymentToken；三、用Sodium保护shared secret；四、对ThinkPHP3.2中二次加密的receipt-data执行AES-128-CBC解密。
如果您在集成苹果支付（Apple Pay）后端验证流程时，需要对敏感数据进行加密处理或对接 Apple Pay 令牌解密逻辑，则必须依赖符合 Apple 规范的加密机制。以下是实现苹果支付相关 PHP 加密操作的具体方法：
一、使用 OpenSSL 扩展实现 AES 加密与解密
Apple Pay 支付令牌本身为加密结构，但部分业务场景（如内购 receipt 数据传输、自定义签名、沙盒环境调试数据封装）需使用 AES 对称加密保障传输安全。OpenSSL 是 PHP 官方推荐且广泛兼容的加密扩展。
1、确认 OpenSSL 已启用：执行 php -m | grep openssl 检查输出是否包含 openssl。
2、生成 32 字节随机密钥：调用 random_bytes(32) 获取安全密钥，不可硬编码。
立即学习“PHP免费学习笔记（深入）”；
3、选择 AES-256-CBC 模式并生成初始化向量（IV）：使用 openssl_random_pseudo_bytes(16) 生成 16 字节 IV。
4、执行加密：调用 openssl_encrypt($data, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv)，再对结果进行 base64 编码。
5、执行解密：先 base64_decode，再调用 openssl_decrypt($encrypted, 'AES-256-CBC', $key, OPENSSL_RAW_DATA, $iv) 还原原始数据。
二、使用 applepay-php 扩展解密 Apple Pay 支付令牌
applepay-php 是专为 Apple Pay 设计的 C 扩展，直接对接 OpenSSL，可验证并解密由 iOS 设备生成的 PKPaymentToken.paymentData。该扩展要求已配置 Apple 提供的 Merchandiser Certificate（merch.cer）和私钥（priv.p12）。
1、安装依赖：在 CentOS 系统执行 sudo yum install openssl-devel；在 Ubuntu 系统执行 sudo apt-get install libssl-dev。
2、克隆项目：运行 git clone https://github.com/etsy/applepay-php.git 并进入目录。
3、编译扩展：依次执行 phpize && ./configure && make。
4、安装扩展：执行 sudo make install，并在 php.ini 中添加 extension=applepay.so。
5、准备证书：将 Apple Developer Center 下载的 merch.cer 和 priv.p12 转换为 PEM 格式，确保路径可被 PHP 进程读取。
三、使用 Sodium 扩展保护共享密钥与签名数据
在苹果内购（In-App Purchase）验证中，自动续订订阅需传入 password 字段（即 shared secret），该密钥必须安全存储与传输。Sodium 提供现代、抗侧信道攻击的密钥封装能力，适用于密钥派生与加密传输。
1、检查 Sodium 是否可用：调用 function_exists('sodium_crypto_secretbox') 返回 true 即支持。
2、生成密钥对：使用 sodium_crypto_kx_keypair() 创建长期密钥对，私钥本地保存，公钥用于加密 shared secret。
3、加密 shared secret：调用 sodium_crypto_box($shared_secret, $nonce, $public_key, $secret_key) 封装后再传输。
4、服务端解密：使用配对的密钥与相同 nonce 调用 sodium_crypto_box_open() 恢复原始 shared secret。
5、验证时携带：将解密后的 shared secret 作为 password 参数，随 receipt-data 一同提交至 iTunes 验证接口。
四、对接苹果内购 receipt 的 AES 解密（ThinkPHP3.2 场景）
部分旧版 SDK 或定制协议中，客户端会对 receipt-data 进行二次 AES 加密后再 POST 到服务器。例如 ThinkPHP3.2 接口接收时需先执行 AES 解密，再进行苹果官方验证。
1、获取原始请求体：使用 file_get_contents("php://input") 读取 raw body。
2、URL 解码与 Base64 处理：执行 urldecode() 和 base64_decode(str_replace(' ', '+', $raw))。
3、提取 AES 密文与 IV：从解码后字符串中按约定分隔符（如 &orderStr=）切分，取出加密段及前 16 字节作为 IV。
4、执行 AES-128-CBC 解密：使用预置密钥与 IV，调用 openssl_decrypt($ciphertext, 'AES-128-CBC', $key, OPENSSL_RAW_DATA, $iv)。
5、解析 JSON receipt：解密后数据应为标准 JSON 字符串，可直接 json_decode() 后提交至苹果验证接口。
