苹果支付PHP集成需准确配置bundle_id、shared_secret、动态验证地址、OpenSSL证书路径、多环境隔离及商品白名单，任一错配将导致21004/21007/21008等验证失败。
如果您在PHP后端集成苹果支付（IAP）时遇到票据验证失败、环境误判或签名错误等问题，很可能是由于关键参数配置不准确或缺失所致。以下是苹果支付PHP端必需的参数配置要点及多种配置方式：
一、基础应用标识与密钥配置
该配置用于校验票据来源合法性与应用归属，必须与 iTunes Connect 中完全一致。bundle_id 和 shared secret 是验证请求中 password 字段的依据，任一错配将直接导致状态码 21004。
1、在项目配置文件（如 config/applepay.php 或 tp5 的 config.php）中定义常量或数组结构：
2、bundle_id 必须与 App 在 App Store Connect 中注册的 Bundle ID 完全一致，区分大小写且不可含空格
立即学习“PHP免费学习笔记（深入）”；
3、shared secret（即 apple_secret）需从 App Store Connect 的“App 内购买项目” → “密码”字段中复制，该值仅显示一次，丢失需重置
4、示例配置（PHP 数组格式）：
'applepay' => [
'bundle_id' => 'com.example.myapp',
'apple_secret' => 'a1b2c3d4e5f67890a1b2c3d4e5f67890',
'sandbox_mode' => false,
],
二、票据验证地址动态切换配置
苹果提供生产与沙盒两套独立验证服务端点，若票据类型与请求地址不匹配，将返回 21007 或 21008 错误。需根据 receipt-data 中 receipt_type 字段或客户端标识自动路由，而非硬编码单一地址。
1、解析原始 receipt_data 的 JSON 字符串，提取 receipt_type 字段值：
2、receipt_type 值为 ProductionSandbox 或 Production 时，分别对应沙盒与生产环境；不可仅依赖开发阶段开关判断
3、构建双地址策略配置项（支持运行时决策）：
$urls = [
'production' => 'https://buy.itunes.apple.com/verifyReceipt',
'sandbox' => 'https://sandbox.itunes.apple.com/verifyReceipt',
];
4、在验证函数中先 base64_decode receipt_data，json_decode 后读取 receipt → receipt_type，再选择对应 URL 发起 cURL 请求。
三、OpenSSL 加密扩展与证书路径配置
当使用 applepay-php 扩展（如 Etsy 维护版本）进行本地解密或签名操作时，需显式声明私钥与证书路径，否则扩展初始化失败或验证报错。
1、确认 PHP 已启用 openssl 扩展（php -m | grep openssl）
2、将 Apple 提供的 merch.cer 与导出的 priv.p12 存放至项目安全目录（如 /config/certs/）
3、priv.p12 密码必须为 'pass:'（含冒号），Apple 官方要求，不可自定义
4、在 PHP 初始化代码中设置路径常量：
define('APPLE_CERT_PATH', __DIR__ . '/config/certs/merch.cer');
define('APPLE_P12_PATH', __DIR__ . '/config/certs/priv.p12');
define('APPLE_P12_PASSPHRASE', 'pass:');
四、多环境隔离配置方案
开发、测试、预发布、生产四环境共用同一套代码时，需避免 bundle_id 或 secret 混用。推荐以下三种互斥配置方式：
1、基于 $_SERVER['APP_ENV'] 环境变量加载不同配置文件：
if ($_SERVER['APP_ENV'] === 'production') { include 'config/applepay.prod.php'; }
else { include 'config/applepay.dev.php'; }
2、禁止将 apple_secret 直接写入 Git 仓库；应通过环境变量注入，如 $_ENV['APPLE_SECRET'] 或 getenv('APPLE_SECRET')
3、使用 .env 文件管理（配合 vlucas/phpdotenv）：
APPLE_BUNDLE_ID=com.example.myapp.production
APPLE_SHARED_SECRET=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
APPLE_VERIFY_URL=https://buy.itunes.apple.com/verifyReceipt
五、内购商品白名单配置
虽非苹果强制要求，但建议在服务端维护 product_id 白名单，防止客户端伪造非法商品 ID 发起验证请求，提升安全性。
1、在配置中声明允许的内购商品 ID 列表：
'products' => [
'com.example.myapp.coin100',
'com.example.myapp.vip_monthly',
'com.example.myapp.unlock_pro',
],
2、验证逻辑中增加校验步骤：解析 receipt → in_app → product_id，若不在白名单中则立即拒绝并返回错误
3、白名单必须与 App Store Connect 中已审核通过的内购项目 ID 逐字一致，包括大小写、连字符和点号
