需解析客户端传入的Base64编码purchase token，调用Apple对应环境验证接口，校验status=0及in_app字段，比对product_id、transaction_id等关键信息，事务内安全存储并发放商品。
如果您需要在PHP后端验证苹果应用内购买的多商品交易，必须正确解析和校验从iOS客户端传递的purchase token，并与Apple服务器进行通信以确认订单有效性。以下是完成该对接的具体步骤：
一、获取并解析客户端传入的purchase token
iOS客户端在完成多商品购买后，会将transaction receipt（即purchase token）以Base64编码字符串形式发送至PHP服务端。PHP需先接收该token，并确保其格式合法、未被篡改。
1、使用$_POST或$_GET方式接收名为"receipt_data"的参数值（具体键名依客户端约定而定）。
2、对收到的字符串执行trim()去除首尾空白，并检查是否为空或仅含空白字符。
立即学习“PHP免费学习笔记（深入）”；
3、使用base64_decode()对该字符串进行解码，若返回false则说明编码无效，应立即终止处理。
4、将解码后的二进制数据保存为临时文件或直接用于后续HTTP请求体，注意：不得对解码后数据做任何修改或重新编码。
二、向Apple验证接口发起POST请求
Apple提供两个环境对应的验证URL：沙盒环境用于测试，生产环境用于正式发布。PHP需根据客户端标识或配置自动选择对应地址，避免在沙盒中误调用生产接口导致失败。
1、构造JSON请求体，包含键"receipt-data"（注意连字符）及上一步获得的Base64编码原始receipt字符串。
2、若为沙盒环境，向https://sandbox.itunes.apple.com/verifyReceipt发送POST请求；若为生产环境，向https://buy.itunes.apple.com/verifyReceipt发送请求。
3、设置cURL选项：CURLOPT_RETURNTRANSFER设为true，CURLOPT_POST设为true，CURLOPT_POSTFIELDS设为上述JSON字符串，CURLOPT_HTTPHEADER设为["Content-Type: application/json"]。
4、执行cURL请求并捕获响应，必须检查HTTP状态码是否为200，非200应视为网络或认证失败。
三、解析Apple返回的JSON响应
Apple验证接口返回标准JSON对象，其中包含status字段和可能存在的receipt字段。status为0表示验证成功，其他值代表不同错误类型，需按码处理。
1、使用json_decode($response, true)将响应体转为关联数组，若返回null则说明JSON解析失败，应记录原始响应内容用于排查。
2、读取数组中的status键值，仅当status等于0时才可信任receipt内容。
3、若status为21007或21008，表示该receipt属于沙盒但被发往生产环境（或反之），需切换验证URL重试一次。
4、提取receipt数组下的in_app子数组，该数组每个元素对应一笔购买记录，多商品场景下必须遍历该数组逐条校验product_id、quantity与业务预期是否匹配。
四、校验单笔in_app记录的关键字段
每条in_app记录包含多个关键字段，PHP需逐一比对以防止伪造或重复消费。重点验证字段包括product_id、transaction_id、original_transaction_id、purchase_date_ms及quantity。
1、检查product_id是否存在于预设白名单中，禁止接受任何未在后台配置的商品ID。
2、查询数据库中是否已存在相同transaction_id的记录，若存在则拒绝重复处理。
3、若为续订类商品（如auto-renewable subscription），需额外检查original_transaction_id是否与首次订阅一致，并校验expires_date_ms是否晚于当前时间。
4、对于quantity大于1的记录，需确认该商品是否支持多数量购买，不支持的商品quantity必须严格等于1。
五、安全存储与发放虚拟商品
验证通过且字段校验无误后，PHP需持久化交易信息，并触发业务逻辑发放对应商品。所有操作应在数据库事务中完成，确保一致性。
1、开启MySQL或PostgreSQL事务，插入一条交易记录，包含receipt_data哈希值（如sha256）、product_id、quantity、transaction_id、purchase_date_ms等字段。
2、更新用户账户中对应商品的库存、权限或有效期，例如增加游戏金币、开通会员等级、延长订阅截止时间。
3、提交事务，若发生异常则回滚，严禁在事务外执行发放动作。
4、向客户端返回标准成功结构，如{"status":"success","transaction_id":"xxx"}，不得返回原始receipt或敏感密钥信息。
