摘录： 苹果应用内支付(iOS IAP)的流程与常用攻击方式
专注于为中小企业提供成都做网站、成都网站设计、成都外贸网站建设服务,电脑端+手机端+微信端的三站合一,更高效的管理,为中小企业泰宁免费做网站提供优质的服务。我们立足成都，凝聚了一批互联网行业人才，有力地推动了上千余家企业的稳健成长，帮助中小企业通过网站建设实现规模扩充和转变。
按照安全性原则, 客户端的所有信息都是不可信的,而且支付是业务中的核心模块,所以应该选择第二种。
下面简要介绍下,第二种方式的简单流程。
作为支付,安全性是第一位的，下面简要分析一下常用的攻击手段。
客户端拿到apple的receipt 并发送到server
server拿到这个receipt,向苹果验证得到apple_callback_data
如果apple_callback_data的status是21007,说明是沙盒模式(不用花钱就可以购买) 要根据具体需求判断处理逻辑,需要注意的是,ios的审核在支付的时候就采用的沙盒模式。
如果apple_callback_data的status是0,就要从apple_callback_data[‘receipt’][‘in_app’]这个list中拿到所有的记录,每一个进行充值。然后记录transaction_id和original_transaction_id来防止同一个transaction被重复使用。
= Original Transaction Identifier
返回所有充值成功和重复的transaction_id, 有client来complete transaction
summary
支付作为核心模块,除了技术上的保证,商务也应该每周进行一次对账。如果发现apple上的收入和服务端记录的收入有比较大的差距,就应该抓紧查看原因。
最后给出一个apple_callback_data的例子
iPhone、iPad、iPod touch 和 Mac 上的许多应用都提供了 App 内购买项目，例如重复性订阅、游戏币，或者完整版游戏或应用的解锁。那ios应用内支付是什么意思？
ios应用内支付是什么意思
ios应用内支付是指您可以在ios 设备或电脑上的应用中购买额外内容或订阅时需要支付的一种行为。您需要使用 Apple ID 登录才能进行 App 内购买。
简单来说，App 内购买意思就是App 里面的某些功能或者道具会需要付费，当然你可以不在App 里面购买其他的东西就可以了，只使用它的免费功能。
不是所有应用都会提供 App 内购买项目。如果某个应用提供 App 内购买项目，那么在 App Store 中，您会在这个应用的“价格”、“购买”或“获取”按钮旁边看到“提供 App 内购买项目”或“App 内购买项目”。
如果某个应用可免费下载，则显示“获取”按钮。您无需付费即可下载这个应用。但是，这个应用中的部分或所有功能可能会要求您进行一次性或反复进行（订阅）App 内购买。
一，iOS端开发。
如果购买成功，我们需要将凭证发送到服务器上进行验证。考虑到网络异常情况，iOS端的发送凭证操作应该可以持久化，如果程序退出，崩溃或网络异常，可以恢复重试。
二，服务器端开发。
服务器后台的工作比较简单，分为4步：
1，接收iOS端发来的购买凭证。
2，判断凭证是否已经存在，是否验证过，然后，存储该凭证。
3，将该凭证发送到苹果的服务器验证，并将验证结果返回给客户端。
4，如果需要，修改用户相应的会员权限。
考虑到网络异常的情况，服务器的验证应该是一个可恢复的列队，如果失败了，应该进行重试。
