必须使用苹果沙盒测试账号和服务器端验签完成PHP对接：一、在App Store Connect创建激活沙盒账号；二、下载并转换Apple Root CA-G3证书为PEM格式；三、解码receipt-data并构造含password的JSON请求体；四、用cURL配置SSL验证向sandbox.itunes.apple.com发起POST；五、解析响应中status=0及receipt内transaction_id等字段。
如果您在开发 PHP 应用时需要验证苹果支付（Apple In-App Purchase）的购买流程，但尚未上线 App 或无法使用真实交易环境，则必须依赖苹果提供的沙盒测试账号与服务器端验签机制。以下是完成 PHP 服务端对接苹果支付沙盒环境的具体操作步骤：
一、创建并配置苹果沙盒测试账号
苹果沙盒测试账号用于模拟真实用户在 TestFlight 或开发版 App 中完成购买，该账号独立于 Apple ID，且仅限在沙盒环境中生效，不会产生实际扣款。需通过 App Store Connect 后台统一管理。
1、登录 App Store Connect（https://appstoreconnect.apple.com）。
2、进入【用户和访问】→【沙盒测试员】→ 点击右上角【+】按钮。
立即学习“PHP免费学习笔记（深入）”；
3、填写邮箱（建议使用未注册过 Apple ID 的新邮箱）、密码、姓名、出生日期等信息，**密码必须包含大小写字母、数字及特殊字符**。
4、提交后，系统将向该邮箱发送验证链接，点击完成激活。
5、返回沙盒测试员列表，确认状态为“已激活”，并记录该账号的邮箱与密码供 iOS 客户端测试使用。
二、获取苹果根证书与验证域名
苹果要求所有服务器端验签请求必须通过 HTTPS 发送至指定域名，并使用其公开根证书校验响应签名的有效性。PHP 需正确配置 SSL 上下文以信任苹果证书链。
1、访问 https://developer.apple.com/cn/documentation/appstoreserverapi/creating_a_client_certificate_for_the_app_store_server_api 下载最新版 Apple Root CA - G3 证书（.cer 文件）。
2、使用 OpenSSL 将 .cer 转换为 PEM 格式：
openssl x509 -inform DER -in AppleRootCA-G3.cer -out apple_root_ca_g3.pem。
3、将生成的 apple_root_ca_g3.pem 文件保存至 PHP 项目可读路径（如 /certs/）。
4、确认验签接口地址：沙盒环境使用 https://api.sandbox.itunes.apple.com/verifyReceipt；生产环境为 https://buy.itunes.apple.com/verifyReceipt（切勿混淆）。
三、解析客户端传入的 receipt-data 并构造请求体
iOS 客户端调用 SKPaymentQueue 的 transaction.transactionReceipt 获取原始收据数据，该数据为 Base64 编码字符串。PHP 必须将其解码并封装为 JSON 请求体，才能提交给苹果服务器。
1、接收客户端 POST 请求中的 receipt-data 字段值（例如：'MIIX...base64string...'）。
2、执行 Base64 解码：
$decoded = base64_decode($_POST['receipt-data']);。
3、构造标准 JSON 请求体：
$payload = json_encode(['receipt-data' => $_POST['receipt-data'], 'password' => 'your_shared_secret_if_using_auto_renewable_subs']);。
注意：若应用内购含自动续订订阅，且已在 App Store Connect 设置了共享密钥（Shared Secret），则必须携带 password 字段。
四、使用 cURL 发起 HTTPS 验证请求
PHP 必须通过 cURL 向苹果沙盒验签接口发起 POST 请求，并强制启用证书验证，确保通信安全与响应可信。禁用 CURLOPT_SSL_VERIFYPEER=FALSE，否则将导致验签失败或被拒绝。
1、初始化 cURL 句柄：
$ch = curl_init('https://api.sandbox.itunes.apple.com/verifyReceipt');。
2、设置关键选项：
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, $payload);
curl_setopt($ch, CURLOPT_HTTPHEADER, ['Content-Type: application/json']);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, true);
curl_setopt($ch, CURLOPT_CAINFO, __DIR__ . '/certs/apple_root_ca_g3.pem');。
3、执行请求并捕获响应：
$response = curl_exec($ch);
$httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
curl_close($ch);。
五、解析苹果返回的 JSON 响应并提取关键字段
苹果服务器返回标准 JSON 结构，其中 status 字段标识验签结果，receipt 字段嵌套原始收据解析内容。PHP 需严格校验 status 值，并从中提取 transaction_id、product_id、purchase_date_ms 等关键业务字段用于本地逻辑处理。
1、将响应字符串转为关联数组：
$data = json_decode($response, true);。
2、检查 status 是否为 0（表示验签成功）：
if (isset($data['status']) && $data['status'] === 0) { ... }。
3、从 $data['receipt'] 中提取：
$transactionId = $data['receipt']['transaction_id'];
$productId = $data['receipt']['product_id'];
$purchaseDateMs = $data['receipt']['purchase_date_ms'];
$originalTransactionId = $data['receipt']['original_transaction_id'];。
4、对自动续订订阅，还需检查 $data['latest_receipt_info'] 数组中最新一条记录的 expires_date_ms 和 is_trial_period 字段。
