后端接入苹果支付常见技术问题：如何验证苹果支付凭证？

Question

**问题描述：** 在后端接入苹果支付（In-App Purchase）过程中，如何正确验证苹果支付凭证（receipt）是开发者常遇到的核心问题之一。苹果返回的凭证格式复杂，且分为生产环境与沙盒环境，后端需准确解析并验证其有效性。常见问题包括：如何正确解析 Base64 编码的 receipt 数据？如何通过苹果官方验证接口进行校验？如何处理自动续订订阅的收据？如何区分沙盒与生产环境？此外，如何安全存储共享密钥（shared secret）以及如何应对苹果 API 的响应错误等问题也频繁出现。掌握这些关键技术点，是确保支付验证安全可靠的关键。

Answer 1

一、苹果支付（In-App Purchase）后端验证流程概述

在后端接入苹果支付系统时，验证支付凭证（receipt）是确保交易真实性和安全性的关键步骤。苹果支付凭证是一个 Base64 编码的字符串，包含了交易的详细信息，如产品 ID、交易 ID、购买时间等。后端需要通过苹果官方的验证接口进行校验，并根据返回结果判断支付是否有效。

苹果提供了两个验证接口：

• 生产环境：https://buy.itunes.apple.com/verifyReceipt
• 沙盒环境：https://sandbox.itunes.apple.com/verifyReceipt

开发过程中，需根据客户端传入的凭证判断应使用哪个接口进行验证。

二、Base64 解码与 receipt 数据结构解析

苹果返回的 receipt 是一个 Base64 编码字符串，后端需对其进行解码以获取原始数据。解码后的内容是一个 PKCS#7 容器，包含多个 ASN.1 编码的数据结构。

常用解析方式包括：

1. 使用第三方库（如 Python 的 asn1crypto、Node.js 的 receipt-validator）解析 ASN.1 数据。
2. 直接调用苹果官方接口验证，接口会返回解析后的 JSON 数据。

推荐采用苹果官方接口验证方式，避免手动解析带来的兼容性和格式问题。

三、调用苹果官方验证接口的流程

苹果提供统一的验证接口，接收客户端传入的 receipt 数据，并返回验证结果。验证请求的基本结构如下：

{
    "receipt-data": "base64-encoded-receipt",
    "password": "shared-secret", // 仅用于自动续订订阅
    "exclude-old-transactions": true // 可选参数
}
    

响应示例：

{
    "status": 0,
    "receipt": {
        "in_app": [
            {
                "product_id": "com.example.product1",
                "transaction_id": "1000000123456789",
                "purchase_date": "2023-01-01 12:00:00 Etc/GMT"
            }
        ]
    }
}
    

其中，status 字段表示验证结果，0 表示成功。

四、自动续订订阅的收据处理

对于自动续订订阅产品，receipt 数据中会包含多个 in_app 条目。后端需关注：

• latest_receipt_info：最新的交易信息
• pending_renewal_info：即将续订的信息
• latest_receipt：最新的完整收据 Base64 数据

处理流程如下：

1. 每次收到客户端的 receipt 后，调用验证接口。
2. 解析返回的 latest_receipt_info，获取最新的交易记录。
3. 结合 purchase_date 和 expires_date 判断订阅是否有效。

此外，苹果建议后端定期轮询最新的 receipt 以保持订阅状态同步。

五、区分沙盒与生产环境的验证方式

苹果的沙盒环境用于测试支付流程，生产环境用于正式交易。两者的验证接口不同，且返回的收据签名不同。

验证流程建议如下：

1. 首先使用生产环境接口验证 receipt。
2. 如果返回状态码为 21007（receipt is from sandbox），则使用沙盒接口再次验证。
3. 反之亦然，确保 receipt 来源环境匹配。

该机制可自动识别客户端传入的测试或正式收据。

六、共享密钥（Shared Secret）的安全存储

对于自动续订订阅产品，验证请求中必须传入 shared secret，否则返回错误。该密钥由开发者在 App Store Connect 中生成，具有敏感性。

安全建议如下：

• 使用环境变量存储，避免硬编码在代码中。
• 使用密钥管理服务（如 AWS Secrets Manager、HashiCorp Vault）进行加密存储。
• 限制访问权限，仅授权后端服务可读取。

确保 shared secret 不被泄露，是保障支付验证安全的关键。

七、处理苹果 API 的响应错误

苹果 API 返回的错误码具有明确含义，常见的错误码如下：

Error Code	Description
21000	The App Store could not read the JSON object you provided.
21002	The data in the receipt-data property was malformed or missing.
21007	The receipt is from the test environment, but you sent it to the production environment.
21008	The receipt is from the production environment, but you sent it to the test environment.
21100-21199	Internal data access error.

建议后端根据错误码进行重试、日志记录或客户端提示。

八、整体验证流程的流程图

以下为苹果支付后端验证的整体流程图：

graph TD
            A[客户端发送receipt] --> B{验证receipt是否有效?}
            B -- 是 --> C[返回成功]
            B -- 否 --> D{错误码是否可重试?}
            D -- 是 --> E[重试验证]
            D -- 否 --> F[记录错误日志]
            G[定期轮询latest_receipt] --> H[更新订阅状态]