必须通过Apple官方验证接口校验收据：先选沙盒或生产环境URL，用cURL发送含receipt-data的JSON请求并启用SSL验证；解析响应status=0后，核对bundle_id、product_id白名单，并检查transaction_id唯一性以防重放。
如果您在PHP后端接收到苹果支付（Apple In-App Purchase）返回的交易收据（receipt-data），需要确认该订单是否真实有效、未被篡改且未被重复使用，则必须通过与Apple官方验证接口通信完成校验。以下是验证苹果支付订单有效性的具体步骤：
一、准备原始收据数据并选择验证环境
苹果提供两个验证地址：沙盒环境用于测试阶段，生产环境用于正式上线。验证前需判断当前收据来自哪个环境，并选择对应URL。沙盒地址为 https://sandbox.itunes.apple.com/verifyReceipt，生产地址为 https://buy.itunes.apple.com/verifyReceipt。若不确定环境，应先尝试沙盒，若返回状态码21007（收据为沙盒收据但发往生产环境）或21008（反之），则切换地址重试。
1、从客户端获取base64编码的receipt-data字符串。
2、检查该字符串是否为空或仅包含空白字符，如是则直接返回错误。
立即学习“PHP免费学习笔记（深入）”；
3、构建JSON请求体，格式为{"receipt-data": "原始base64字符串", "password": "可选：共享密钥（仅适用于自动续订订阅）"}。
二、使用cURL发起HTTPS POST请求至Apple验证接口
cURL是PHP中最常用且稳定的HTTP客户端方式，支持SSL证书验证和超时控制，能准确传递JSON数据并接收响应。务必启用SSL证书验证以防止中间人攻击，并设置合理的超时时间避免阻塞。
1、初始化cURL句柄：$ch = curl_init()。
2、设置URL为目标验证地址（沙盒或生产）。
3、设置CURLOPT_POST为true，CURLOPT_POSTFIELDS为上一步构建的JSON字符串。
4、设置CURLOPT_HTTPHEADER为["Content-Type: application/json"]。
5、设置CURLOPT_RETURNTRANSFER为true，确保响应内容返回为字符串而非直接输出。
6、设置CURLOPT_SSL_VERIFYPEER为true，CURLOPT_SSL_VERIFYHOST为2，启用完整SSL验证。
7、设置CURLOPT_TIMEOUT为30，防止网络延迟导致长时间等待。
8、执行请求：$response = curl_exec($ch)。
9、关闭cURL句柄：curl_close($ch)。
三、解析Apple返回的JSON响应并校验状态码
Apple验证接口返回标准JSON对象，其中status字段表示验证结果。只有status为0才代表收据完全有效；其他值均表示不同类型的失败，需按对应逻辑处理。注意：status=0不等于订单已成功扣款，仅表示收据格式合法、签名有效、未过期且未被撤销。
1、使用json_decode($response, true)将响应解析为关联数组。
2、检查解码是否失败（返回null），若失败则视为无效响应。
3、读取数组中的status键值。
4、若status等于0，继续提取receipt、latest_receipt、latest_receipt_info等字段用于后续业务判断。
5、若status等于21000，表示收据数据损坏或非JSON格式。
6、若status等于21002，表示receipt-data字段不是有效的base64编码。
7、若status等于21004，表示共享密钥不匹配（当使用password字段时）。
8、若status等于21005，表示收据无法在当前环境（沙盒/生产）中验证，需切换地址重试。
9、若status等于21006，表示收据有效但已过期（subscription过期或consumable未消费）。
10、若status等于21007或21008，按前述规则切换验证地址并重新请求。
四、验证receipt中的bundle_id与product_id一致性
即使Apple返回status=0，仍需在服务端核对receipt内嵌的应用标识与商品标识，防止恶意用户复用他人收据。bundle_id必须与当前应用一致，product_id必须属于本应用已配置的合法商品列表，否则拒绝授予权益。
1、从解析后的response['receipt']中提取bundle_id字段。
2、比对是否等于当前应用的合法Bundle ID（例如com.example.app）。
3、提取response['receipt']['in_app']数组（可能含多个条目）。
4、遍历该数组，对每个子项检查product_id是否存在于预设白名单中。
5、若任一product_id不在白名单内，视为非法购买行为。
6、记录该product_id对应的quantity值，用于判断是否为多件购买（如允许叠加的consumable）。
五、检查latest_receipt_info中transaction_id唯一性与未使用状态
为防止同一收据被多次提交（重放攻击），必须在数据库中维护已验证成功的transaction_id集合。每次验证通过后，需查询该transaction_id是否已存在；若存在，则拒绝二次发放；若不存在，则写入并标记为已处理。
1、从response['latest_receipt_info']数组中取出最新一笔交易（通常为末尾元素）。
2、提取其中的transaction_id字段。
3、执行SQL查询：SELECT COUNT(*) FROM verified_transactions WHERE transaction_id = ?。
4、若查询结果大于0，则返回错误提示transaction_id已存在，订单已被处理。
5、若查询结果为0，则插入新记录：INSERT INTO verified_transactions (transaction_id, original_json, created_at) VALUES (?, ?, NOW())。
6、仅在此步完成后，才可安全执行发货、开通权限等业务操作。
