PHP对接苹果支付多商品实战教程

本文详细讲解了PHP后端如何安全、可靠地对接苹果应用内购买（IAP）的多商品场景，涵盖从接收客户端Base64编码的purchase token、选择正确环境调用Apple验证接口、精准解析与状态码处理，到逐项校验product_id、transaction_id、quantity等关键字段，再到事务性存储与商品发放的完整闭环流程，帮助开发者规避重复消费、环境错配、数据篡改等高发风险，实现合规、健壮的支付验证体系。

如果您需要在PHP后端验证苹果应用内购买的多商品交易，必须正确解析和校验从iOS客户端传递的purchase token，并与Apple服务器进行通信以确认订单有效性。以下是完成该对接的具体步骤：

一、获取并解析客户端传入的purchase token

iOS客户端在完成多商品购买后，会将transaction receipt（即purchase token）以Base64编码字符串形式发送至PHP服务端。PHP需先接收该token，并确保其格式合法、未被篡改。

1、使用$_POST或$_GET方式接收名为"receipt_data"的参数值（具体键名依客户端约定而定）。

2、对收到的字符串执行trim()去除首尾空白，并检查是否为空或仅含空白字符。

3、使用base64_decode()对该字符串进行解码，若返回false则说明编码无效，应立即终止处理。

4、将解码后的二进制数据保存为临时文件或直接用于后续HTTP请求体，注意：不得对解码后数据做任何修改或重新编码。

二、向Apple验证接口发起POST请求

Apple提供两个环境对应的验证URL：沙盒环境用于测试，生产环境用于正式发布。PHP需根据客户端标识或配置自动选择对应地址，避免在沙盒中误调用生产接口导致失败。

1、构造JSON请求体，包含键"receipt-data"（注意连字符）及上一步获得的Base64编码原始receipt字符串。

2、若为沙盒环境，向https://sandbox.itunes.apple.com/verifyReceipt发送POST请求；若为生产环境，向https://buy.itunes.apple.com/verifyReceipt发送请求。

3、设置cURL选项：CURLOPT_RETURNTRANSFER设为true，CURLOPT_POST设为true，CURLOPT_POSTFIELDS设为上述JSON字符串，CURLOPT_HTTPHEADER设为["Content-Type: application/json"]。

4、执行cURL请求并捕获响应，必须检查HTTP状态码是否为200，非200应视为网络或认证失败。

三、解析Apple返回的JSON响应

Apple验证接口返回标准JSON对象，其中包含status字段和可能存在的receipt字段。status为0表示验证成功，其他值代表不同错误类型，需按码处理。

1、使用json_decode($response, true)将响应体转为关联数组，若返回null则说明JSON解析失败，应记录原始响应内容用于排查。

2、读取数组中的status键值，仅当status等于0时才可信任receipt内容。

3、若status为21007或21008，表示该receipt属于沙盒但被发往生产环境（或反之），需切换验证URL重试一次。

4、提取receipt数组下的in_app子数组，该数组每个元素对应一笔购买记录，多商品场景下必须遍历该数组逐条校验product_id、quantity与业务预期是否匹配。

四、校验单笔in_app记录的关键字段

每条in_app记录包含多个关键字段，PHP需逐一比对以防止伪造或重复消费。重点验证字段包括product_id、transaction_id、original_transaction_id、purchase_date_ms及quantity。

1、检查product_id是否存在于预设白名单中，禁止接受任何未在后台配置的商品ID。

2、查询数据库中是否已存在相同transaction_id的记录，若存在则拒绝重复处理。

3、若为续订类商品（如auto-renewable subscription），需额外检查original_transaction_id是否与首次订阅一致，并校验expires_date_ms是否晚于当前时间。

4、对于quantity大于1的记录，需确认该商品是否支持多数量购买，不支持的商品quantity必须严格等于1。

五、安全存储与发放虚拟商品

验证通过且字段校验无误后，PHP需持久化交易信息，并触发业务逻辑发放对应商品。所有操作应在数据库事务中完成，确保一致性。

1、开启MySQL或PostgreSQL事务，插入一条交易记录，包含receipt_data哈希值（如sha256）、product_id、quantity、transaction_id、purchase_date_ms等字段。

2、更新用户账户中对应商品的库存、权限或有效期，例如增加游戏金币、开通会员等级、延长订阅截止时间。

3、提交事务，若发生异常则回滚，严禁在事务外执行发放动作。

4、向客户端返回标准成功结构，如{"status":"success","transaction_id":"xxx"}，不得返回原始receipt或敏感密钥信息。

终于介绍完啦！小伙伴们，这篇关于《PHP对接苹果支付多商品实战教程》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布文章相关知识，快来关注吧！