需配置Apple密钥并用JWT签名调用其API验证订阅：先在开发者后台创建.p8密钥获取Key ID/Issuer ID；再用firebase/php-jwt生成ES256签名的Bearer Token；接着根据收据来源选择沙盒或生产环境URL发起带Token的POST请求；解析响应中status=0及in_app内expires_date_ms判断订阅有效性；最后通过Webhook接收并解密App Store Server Notifications v2消息处理续订事件。
如果您希望在PHP后端验证苹果App Store的自动续订订阅支付，需要正确处理来自Apple的服务器通知（Server-to-Server Notifications）及订阅状态校验请求。以下是实现该功能的核心步骤：
一、配置Apple Developer账号与密钥
苹果要求使用JWT（JSON Web Token）方式对订阅验证请求进行身份认证，必须预先在Apple Developer Portal中创建专用密钥并获取必要凭证。该密钥用于生成签名，确保与Apple服务器通信的安全性。
1、登录Apple Developer Account，进入“Certificates, Identifiers & Profiles”页面。
2、在“Keys”部分点击“+”新建密钥，勾选“Apple App Store Connect API”权限。
立即学习“PHP免费学习笔记（深入）”；
3、下载生成的.p8密钥文件，并记录下对应的Key ID、Issuer ID和Bundle ID（即App的Product ID）。
二、安装并配置JWT签名库
PHP需借助第三方JWT库生成符合Apple规范的Bearer Token，用于向Apple的验证接口发起授权请求。Apple要求Token有效期不超过600秒，且必须使用ES256算法签名。
1、通过Composer安装firebase/php-jwt库：composer require firebase/php-jwt。
2、在PHP脚本中引入JWT类：use Firebase\JWT\JWT;。
3、使用.p8密钥内容、Key ID、Issuer ID构造JWT payload，设置iss（Issuer）、iat（Issued At）、exp（Expiration Time）字段。
三、构建Apple订阅验证请求（Production环境）
Apple提供两个独立的验证端点：sandbox（沙盒测试）与production（生产）。PHP需根据receipt数据来源自动选择对应URL，并携带Bearer Token发起POST请求。
1、从iOS客户端传入的latest_receipt或latest_receipt_info字段提取base64编码的收据数据。
2、构造请求体：{"receipt-data": "base64_encoded_receipt", "password": "shared_secret_if_using_legacy"}（若使用App Store Server API则无需password）。
3、设置HTTP头：Authorization: Bearer {generated_jwt_token} 和 Content-Type: application/json。
四、解析Apple返回的订阅状态响应
Apple的响应为JSON格式，包含status码及receipt属性。status为0表示验证成功，receipt中包含in_app数组，每项代表一次购买记录，其中original_transaction_id唯一标识一次订阅，expires_date_ms表示过期时间戳（毫秒）。
1、检查response['status'] === 0，否则按status码查表处理错误（如21002为收据数据损坏，21007为沙盒收据发往生产环境）。
2、遍历response['receipt']['in_app']，筛选出product_id匹配当前订阅计划的条目。
3、将expires_date_ms转换为PHP DateTime对象，判断是否大于当前时间以确认订阅有效。
五、处理App Store Server Notifications（v2）
Apple推荐使用Server Notifications替代轮询验证，PHP需部署一个HTTPS可公开访问的Webhook端点接收POST请求，该请求体为加密的JWT，需用开发者密钥解密并验证签名。
1、在App Store Connect中配置Notification URL，启用INITIAL_BUY、RENEWAL、EXPIRED等事件类型。
2、接收原始POST body（非$_POST），使用openssl_pkey_get_private()加载.p8密钥，调用JWT::decode()验证JWT签名及exp、iat时间有效性。
3、解析payload中的notification_type与data.signed_payload，对signed_payload再次JWT解码，提取auto_renew_status、expiration_intent等关键字段。
