苹果内购PHP服务端需完整实现五步处理：一、基础参数校验；二、双环境自动路由；三、标准receipt验签与状态码分支；四、防重放幂等控制；五、V2 JWS通知解析验签。
如果您在iOS应用中集成苹果内购功能后，客户端已将支付凭证（receipt-data）提交至PHP服务端，但服务端未能正确解析、验证或更新订单状态，则可能是由于回调逻辑缺失、环境配置错误或验签流程不完整所致。以下是处理苹果支付PHP回调的多种方法：
一、基础HTTP接收与参数校验
该方法用于确保服务端能稳定接收并初步过滤非法请求，避免后续无效处理。需严格校验请求来源、数据完整性及必要字段存在性。
1、使用file_get_contents("php://input")读取原始POST体，兼容JSON格式或URL编码格式的凭证数据。
2、若接收到的是URL编码数据（如receipt-data=xxx&order_id=yyy），需用parse_str()解析为关联数组。
立即学习“PHP免费学习笔记（深入）”；
3、检查receipt-data字段是否非空且长度大于100字符，苹果生产环境凭证通常超过7000字符，沙盒环境也普遍超4000字符。
4、校验order_id或业务订单号是否存在且符合内部格式规则，防止注入或空值穿透。
二、双环境自动识别与端点路由
该方法解决沙盒与生产环境误调用导致的21007/21008错误，通过动态判断凭证类型或显式传参选择对应苹果验证地址。
1、优先尝试从客户端请求中提取sandbox字段（布尔值或字符串"true"/"false"），若存在且为真，则指向沙盒验证地址https://sandbox.itunes.apple.com/verifyReceipt。
2、若无显式标识，对receipt-data进行Base64解码后初步解析，检查environment字段值是否为"Sandbox"或"Production"。
3、若解码失败或字段缺失，执行双路验证：先发往沙盒地址，若返回状态码21007，则立即重试生产地址；若返回21008，则重试沙盒地址。
4、禁止硬编码单一验证地址，必须支持运行时切换。
三、标准receipt校验与状态码分支处理
该方法依据苹果官方文档定义的状态码，对验签响应做精确分支控制，确保不同异常场景有独立应对逻辑。
1、构造标准JSON请求体：{"receipt-data":"...","password":"your_shared_secret"}，其中password仅在订阅商品且配置了Shared Secret时携带。
2、使用cURL发起POST请求，必须设置CURLOPT_SSL_VERIFYPEER=0和CURLOPT_SSL_VERIFYHOST=0以绕过证书验证问题。
3、接收响应后，用json_decode($response, true)转为数组，检查status键值。
4、针对关键状态码分别处理：0表示成功；21002需记录原始receipt-data供前端重传；21003/21004需检查secret一致性；21005应延迟重试；21006需触发续订逻辑而非失败处理。
四、防重放与幂等性控制
该方法防止同一凭证被多次提交导致重复发货或余额叠加，通过数据库唯一约束与事务控制保障业务原子性。
1、在订单表中为receipt_data_hash字段建立唯一索引，该字段存储sha256(receipt-data)值。
2、插入新订单前，先查询该哈希值是否存在，若存在则直接返回{"status":"success","message":"duplicate_receipt"}。
3、若为新凭证，开启MySQL事务，在同一事务内完成：插入订单记录、更新用户账户、写入验签日志。
4、事务提交后，再向苹果发起get-all-latest请求（仅订阅类）获取最新交易快照，避免仅依赖首次验签结果造成状态滞后。
五、V2 JWS通知解析与验签（适用于订阅/退款回调）
该方法专用于处理苹果推送的V2格式服务器通知（JWS），区别于客户端主动提交的receipt-data，需独立实现JWT解析与苹果根证书比对。
1、从HTTP头X-Apple-Notification-Signature或请求体中提取完整JWS字符串（含三个以"."分隔的Base64段）。
2、使用firebase/php-jwt库加载JWS，提取header.x5c中的证书链。
3、取证书链末尾证书（即Leaf Cert），用openssl_x509_read()加载，并与本地存储的AppleRootCA-G3.pem比对公钥指纹。
4、验证通过后，解码payload，提取notificationType（如REFUND、SUBSCRIBED）、autoRenewStatus及originalTransactionId，据此定位并更新对应主订单的订阅状态或发起退款补偿流程。
