苹果IAP服务端验证需用cURL或Guzzle调用官方接口，严格处理21007/21008重试逻辑，本地验签仅作辅助，自动续订须解析latest_receipt_info并校验product_id与有效期，错误码须分类响应。
如果您在PHP项目中需要验证苹果应用内购买（IAP）的交易凭证，但无法正确解析苹果返回的响应，则可能是由于请求格式、证书配置或验签逻辑存在问题。以下是实现苹果支付服务端验证的多种方法：
一、使用cURL发送POST请求至苹果验证接口
该方法通过标准HTTP POST方式将交易凭证提交至苹果官方验证地址，适用于所有PHP版本，无需额外扩展依赖。
1、准备原始交易凭证（receipt-data），需为Base64编码字符串，通常由iOS客户端传递至您的PHP服务端。
2、构建JSON请求体，包含receipt-data字段及可选的password（仅适用于自动续订订阅且配置了共享密钥的应用）。
立即学习“PHP免费学习笔记（深入）”；
3、设置cURL选项：URL为https://buy.itunes.apple.com/verifyReceipt（生产环境）或https://sandbox.itunes.apple.com/verifyReceipt（沙盒测试），Content-Type为application/json，启用SSL验证并设置超时时间。
4、执行请求并获取响应，使用json_decode解析返回的JSON数据，检查status字段是否为0（表示验证成功）。
5、若status为21007或21008，需将请求重定向至沙盒或生产环境对应接口进行二次验证，务必注意苹果要求的重试逻辑必须严格遵循其文档定义。
二、使用Guzzle HTTP客户端发起验证请求
Guzzle提供更简洁的HTTP抽象层和异常处理机制，适合已集成Composer依赖管理的项目。
1、通过Composer安装guzzlehttp/guzzle：composer require guzzlehttp/guzzle。
2、实例化Guzzle客户端，配置base_uri为苹果验证地址，并设置timeout和verify参数。
3、调用post方法，传入receipt-data数组作为JSON body，例如['receipt-data' => $receipt, 'password' => $sharedSecret]。
4、捕获GuzzleException异常，区分网络错误与HTTP状态码错误（如400、500）。
5、对响应体执行json_decode($response->getBody(), true)，验证返回数据中in_app数组是否存在且非空，避免仅依赖status字段忽略业务逻辑错误。
三、本地验签验证App Store签名（仅限iOS 11.3+ Receipt）
当需离线校验收据签名真实性时，可使用OpenSSL扩展解析并验证苹果签名证书链，适用于高安全要求场景。
1、从原始收据数据中提取PKCS#7签名部分（位于receipt-data末尾的ASN.1结构）。
2、使用openssl_pkcs7_verify()函数对签名文件执行验证，需提前将苹果根证书（AppleIncRootCertificate.cer）与中间证书（AppleWWDRCAG6.cer）合并为PEM格式。
3、若验证失败，检查PHP OpenSSL扩展是否启用，以及证书路径是否可读。
4、成功后使用openssl_x509_parse()解析证书信息，确认颁发者为Apple Worldwide Developer Relations Certification Authority。
5、注意：此方法不替代服务器端在线验证，仅作辅助校验；苹果明确要求最终验证必须通过其HTTPS接口完成。
四、处理苹果返回的嵌套收据字段（auto-renewable subscription）
对于自动续订订阅，苹果返回的receipt中包含latest_receipt_info数组，需从中提取最新有效交易记录。
1、检查响应中latest_receipt_info是否为数组且不为空，否则回退至top-level receipt-info字段。
2、遍历latest_receipt_info数组，按expires_date_ms字段降序排序，取第一条作为当前有效订阅项。
3、比对product_id是否与预期一致，防止用户篡改凭证替换为其他商品ID。
4、解析expires_date_ms为时间戳，转换为DateTime对象并与当前时间比较，判断是否仍在有效期。
5、特别注意：sandbox环境的expires_date_ms可能比实际时间快数小时，测试阶段应预留至少30分钟缓冲期。
五、错误码分类处理与日志记录策略
苹果验证接口返回的status字段涵盖20余种错误码，需按类别分别应对，避免统一返回失败误导客户端。
1、status为21000–21003、21005：代表客户端提交的数据格式错误或服务不可用，应记录原始receipt-data用于排查，禁止向客户端暴露具体错误码，防止被用于探测攻击。
2、status为21004：表示共享密钥不匹配，需核对App Store Connect中配置的Password字段是否与代码中一致，且未误填为App ID或Bundle ID。
3、status为21006：表示订阅已过期但存在宽限期，此时应允许用户继续访问服务直至宽限期结束，同时触发续订提醒。
4、status为21007或21008：必须切换验证地址重试，重试前需记录原始请求时间与环境标识，防止无限循环调用。
5、status为21010：表示收据为测试环境生成但发往生产接口，应直接拒绝并返回明确提示，不得尝试自动降级至沙盒接口，以免引发安全风险。
