需对接Apple Pay服务器端验证流程：一、配置Apple Developer账号与证书；二、接收并解析前端Payment Token；三、用OpenSSL解密验签；四、调用Apple远程API验证签名；五、处理支付数据并更新订单。
如果您正在开发一个支持苹果支付的Web应用，并希望在PHP后端完成支付验证与订单处理，则需要对接Apple Pay的服务器端验证流程。以下是实现该流程的具体步骤：
一、配置Apple Developer账号与证书
Apple Pay要求使用经过苹果签名的支付授权凭证，必须在Apple Developer中心创建并下载相关证书与密钥。这些材料用于后续对支付令牌（Payment Token）进行解密和验证。
1、登录Apple Developer Center，进入Certificates, Identifiers & Profiles。
2、在Identifiers中注册一个新的App ID，并启用Apple Pay功能。
立即学习“PHP免费学习笔记（深入）”；
3、在Certificates中创建Apple Pay Merchant Identity Certificate，下载生成的.p12文件。
4、导出该证书的私钥为.pem格式，并确保其权限安全，仅PHP进程可读取。
二、接收前端传递的Payment Token
前端通过Apple Pay JS API完成用户授权后，会返回一个加密的paymentToken对象，其中包含data、signature、header等字段。PHP需接收该JSON数据并提取原始token内容。
1、使用POST方式接收前端发送的JSON请求体。
2、调用json_decode()解析请求数据，确认存在paymentToken字段。
3、从paymentToken中提取data、signature、version和header四个关键字段。
4、验证header中transactionId是否唯一且未被重复使用，防止重放攻击。
三、解密并验证Payment Token
Apple Pay的paymentToken使用ECDSA签名与AES-GCM加密，PHP需借助OpenSSL扩展完成解密与验签。官方推荐使用苹果提供的公钥（Apple Root CA）及商户证书链进行校验。
1、将接收到的data字段进行Base64解码，得到加密载荷。
2、使用openssl_pkey_get_private()加载商户私钥.pem文件。
3、调用openssl_open()配合AES-256-GCM算法与header中提供的ephemeralPublicKey、transactionId等参数解密data。
4、对解密后的payload进行JSON解析，检查其中的paymentData、applicationPrimaryAccountNumber（PAN）及currencyCode字段是否符合业务预期。
四、调用Apple Pay Server API验证签名
除本地解密外，苹果还提供远程签名验证服务（/verifyReceipt），用于确认paymentToken确实由合法设备生成且未被篡改。该接口需使用HTTPS POST请求提交token数据。
1、构造请求URL：https://apple-pay-gateway.apple.com/verifyReceipt。
2、设置HTTP头：Content-Type为application/json，Authorization为Bearer + 商户API密钥（从Apple Business Manager获取）。
3、构建请求体，包含receipt-data（即原始paymentToken.data）、password（merchant identifier对应密码）和exclude-old-transactions（设为true）。
4、使用curl_exec()发起请求，接收JSON响应，检查response.status是否为0且response.receipt.in_app[0].product_id匹配订单商品ID。
五、处理解密后的支付数据并更新订单状态
成功解密并验证token后，PHP需提取卡信息摘要、交易金额与货币类型，结合本地订单系统完成扣款逻辑或对接第三方支付网关。
1、从解密后的payload中提取amount与currency，比对订单数据库中的待支付金额。
2、检查payload中billingContact与shippingContact是否满足实名认证要求（如中国区需身份证号哈希值）。
3、调用内部订单服务接口，将订单状态更新为“已通过Apple Pay授权”，并记录transactionId与paymentInstrumentName。
4、向客户端返回成功响应，包含order_id与verification_status字段。
