PHPIOS支付回调

iOSApp内购验证错误代码及验证流程
该代码段展示了如何使用PHP进行iOS应用内购验证,包括处理AppStore返回的不同错误代码以及使用curl发起验证请求的逻辑。当接收到购买请求后,它会验证receipt-data,区分沙盒环境和生产环境,并在验证成功后执行相应的订单处理操作。
<?php


namespace app\api\controller\v1;


use app\api\controller\Controller;

class IosNotify extends Controller
{

	/**
	 * 21000 App Store不能读取你提供的JSON对象
	 * 21002 receipt-data域的数据有问题
	 * 21003 receipt无法通过验证
	 * 21004 提供的shared secret不匹配你账号中的shared secret
	 * 21005 receipt服务器当前不可用
	 * 21006 receipt合法,但是订阅已过期。服务器接收到这个状态码时,receipt数据仍然会解码并一起发送
	 * 21007 receipt是Sandbox receipt,但却发送至生产系统的验证服务
	 * 21008 receipt是生产receipt,但却发送至Sandbox环境的验证服务
	 */
	public function acurl($receipt_data, $sandbox = 0)
	{
		//小票信息
		$POSTFIELDS = ["receipt-data" => $receipt_data];
		$POSTFIELDS = json_encode($POSTFIELDS);

		//正式购买地址 沙盒购买地址
		$url_buy = "https://buy.itunes.apple.com/verifyReceipt";
		$url_sandbox = "https://sandbox.itunes.apple.com/verifyReceipt";
		$url = $sandbox ? $url_sandbox : $url_buy;

		//简单的curl
		$ch = curl_init($url);
		curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
		curl_setopt($ch, CURLOPT_POST, 1);
		curl_setopt($ch, CURLOPT_POSTFIELDS, $POSTFIELDS);
		$result = curl_exec($ch);
		curl_close($ch);

		return $result;
	}

	/**
	 * 验证AppStore内付
	 *
	 * @param  string  $receipt_data  付款后凭证
	 *
	 * @return array                验证是否成功
	 */
	public function validate_apple_pay()
	{

		$receipt_data = request()->post()['receipt'];
		$order_no = request()->post()['order_no'];

		// 验证参数
		if (strlen($receipt_data) < 20) {
			return $this->renderError('购买失败,非法参数!');
		}

		// 请求验证
		$html = $this->acurl($receipt_data);
		$data = json_decode($html, true);

		// 如果是沙盒数据 则验证沙盒模式
		if ($data['status'] == '21007') {
			// 请求验证
			$html = $this->acurl($receipt_data, 1);
			$data = json_decode($html, true);
			$data['sandbox'] = '1';
		}

		if (isset($_GET['debug'])) {
			exit(json_encode($data));
		}

		// 判断是否购买成功
		if (intval($data['status']) === 0) {

			$model = new \app\common\model\RechargeOrderIntegral();

			$res = $model->orderNotify([
				'order_no'=>$order_no,
				'pay_type'=>3,
			]);

			if($res){
				return $this->renderSuccess([],"支付成功");
			}else{
				return $this->renderError("支付失败");
			}

		} else {
			return $this->renderError('购买失败 status:'.$data['status']);
		}

	}

}
### 支付宝同步回调实现方案及相关问题解决 #### 一、同步回调概述 支付宝的同步回调通常发生在用户完成支付操作后,页面会跳转至商户指定的 URL 地址。此过程中,支付宝会通过 GET 请求传递一些必要的参数给商户系统[^1]。 由于同步回调采用的是 GET 方法,所有的参数都会显示在浏览器地址栏中,存在一定的安全隐患。因此推荐使用 POST 提交的方式隐藏这些敏感数据,并通过 Form 表单来实现更安全的数据传输。 --- #### 二、同步回调的安全优化——Form 表单提交 为了提升安全性并避免敏感信息暴露在 URL 中,可以改用 HTML 的 `<form>` 标签配合 `POST` 方法进行同步回调: ```html <form id="syncCallbackForm" action="https://your-domain.com/sync-callback-url" method="POST"> <!-- 隐藏字段 --> <input type="hidden" name="trade_no" value="${tradeNo}"> <input type="hidden" name="out_trade_no" value="${outTradeNo}"> <input type="hidden" name="total_amount" value="${totalAmount}"> </form> <script> document.getElementById('syncCallbackForm').submit(); </script> ``` 上述代码片段展示了如何利用 JavaScript 自动提交表单,从而将支付宝返回的参数以 POST 形式发送到商户服务器端。 --- #### 三、常见错误及其解决方案 1. **签名验证失败 (isSign=false)** 如果在接收支付回调时遇到 `isSign=false` 的情况,则可能是以下几个原因造成的: - 安全校验码(App Secret Key)配置错误。 - 参数格式不符合要求(如多出了自定义参数或编码格式不对)。 - 时间戳超时(某些情况下 notify_id 只能有效一分钟)。 对应的排查方法如下:确认 App Secret Key 是否正确;检查所有参与签名的参数顺序是否一致;确保时间戳的有效性以及字符集统一为 UTF-8 编码[^2]。 2. **公钥设置错误** 在 iOS 开发或其他场景下,部分开发者容易混淆支付宝公钥与应用私钥的概念。务必注意,`ali_public_key` 应填写支付宝官方提供的公钥而非自己的应用密钥[^4]。 3. **日志记录不足** 当无法定位具体问题时,建议开启 SDK 日志功能以便捕获更多细节。例如,在 PHP 版本中可以通过修改 `logResult()` 函数路径获取完整的调试信息。 --- #### 四、服务端逻辑处理示例 以下是 Java 环境下的简单实现案例,用于解析和验证来自支付宝的同步回调请求: ```java import com.alipay.api.AlipayApiException; import com.alipay.api.internal.util.AlipaySignature; public class AlipaySyncCallbackHandler { public static void handleAlipaySync(Map<String, String> params) throws AlipayApiException { boolean verifyResult = AlipaySignature.rsaCheckV1(params, "YOUR_ALIPAY_PUBLIC_KEY", // 替换为实际支付宝公钥字符串 "UTF-8", "RSA2"); if (!verifyResult) { log.error("#####支付宝同步回调接口CallBackController#####签名验证失败"); throw new RuntimeException("签名异常!"); } String tradeStatus = params.get("trade_status"); if ("TRADE_SUCCESS".equals(tradeStatus)) { log.info("#####支付宝同步回调接口CallBackController#####支付成功"); processSuccessfulPayment(params); } else { log.warn("#####支付宝同步回调接口CallBackController#####支付状态未知:" + tradeStatus); } } private static void processSuccessfulPayment(Map<String, String> params) { // 处理业务逻辑... log.info("#####支付宝同步回调接口CallBackController#####synCallBack结束"); } } ``` 以上代码实现了基本的签名验证机制,并针对不同交易状态采取相应措施[^3]。 --- #### 五、注意事项 - 商户需妥善保管自身的私钥,切勿将其泄露; - 接收同步回调的同时也应注意监听异步通知,因为前者可能因网络波动等原因丢失消息; - 建议定期更新依赖库版本,保持兼容性和安全性。 ---
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值