非零状态码表明app store服务器拒绝验证，需系统排查：一、严格映射21000–21008错误码并统一类型；二、动态切换沙盒/生产验证地址；三、校验receipt-data为合法base64；四、生产环境必传shared_secret；五、记录完整http响应含头信息。
如果您在PHP后端验证苹果支付收据时收到非零状态码，说明验证流程在App Store服务器侧被拒绝。以下是针对苹果支付错误码的系统性排查步骤：
一、解析错误码对应含义
苹果官方定义了21000–21008共9个标准错误码，每个码代表特定验证失败原因。PHP代码中必须将返回的status字段与预设错误消息数组严格映射，避免因字符串类型或空格导致匹配失效。需特别注意：status字段可能为字符串或整数类型，建议统一用intval()转换后再比对。
1、检查$err_msg数组是否完整覆盖21000至21008全部键值；
2、确认$data['status']未被意外截断或JSON解析失败导致为空；
立即学习“PHP免费学习笔记（深入）”；
3、在日志中记录原始$response字符串而非仅$data，防止json_decode()静默失败掩盖原始响应内容。
二、区分沙盒与生产环境验证地址
苹果要求沙盒收据必须提交至sandbox.itunes.apple.com，生产收据必须提交至buy.itunes.apple.com。若收据来自测试设备却发往生产地址，将返回21007；反之则返回21008。PHP逻辑必须依据收据实际来源动态切换URL，不可硬编码单一地址。
1、在acurl()方法中，先向生产地址发起首次请求；
2、若响应中status为'21007'，立即使用相同receipt-data重发至沙盒地址；
3、记录$data['sandbox']标识位，用于后续业务逻辑分支判断。
三、校验receipt-data数据格式合法性
receipt-data必须为Base64编码后的字符串，且长度不得小于20字符。若前端传入原始JSON、空值、null或被URL解码破坏的字符串，将触发21002错误。PHP层需在调用acurl前强制校验并过滤无效输入。
1、使用base64_decode($receipt_data, true)进行安全解码，返回false即视为非法；
2、检查strlen($receipt_data)
3、移除收据字符串首尾空白符及换行符，防止base64_decode失败。
四、验证shared secret一致性
当应用启用自动续期订阅时，verifyReceipt请求必须携带shared secret参数。若PHP未在POST数据中包含该字段，或传入的secret与App Store Connect中配置的值不完全一致（含大小写、空格、特殊字符），将返回21004。该secret仅用于订阅验证，普通应用内购买无需提供。
1、确认App Store Connect中“用户与访问→App专用共享密钥”已生成并启用；
2、在acurl()的$POSTFIELDS数组中显式添加'share_secret' => $shared_secret字段；
3、从环境变量或配置文件读取$shared_secret，禁止写死于代码中。
五、捕获并记录完整HTTP响应体
苹果验证接口返回的是标准JSON，但部分错误（如21005）可能伴随HTTP 500状态码，而cURL默认不返回HTTP头。若仅依赖curl_exec()结果，可能丢失关键上下文。必须启用CURLOPT_HEADER和CURLOPT_NOBODY组合调试，或改用流上下文捕获原始响应。
1、在acurl()中添加curl_setopt($ch, CURLOPT_HEADER, true)；
2、使用curl_getinfo($ch, CURLINFO_HTTP_CODE)获取真实HTTP状态码；
3、将完整响应（含header+body）写入独立日志文件，命名含时间戳与order_sn。
