Как безопасно доставить данные о статусе платежа, проведенного в apple pay с клиента на сервер?

Question

[EVOSandru6]

Привет ребят, кто-нибудь делал оплату apple pay?
В частности интересует способ получения информации о платеже на сервере.

К удивлению не нашел возможности выставлять ентрипоинты на сервер,
на которые ходит сервис гугла в зависимости от статуса платежа, выполненного на клиентском устройстве.

А-ля:

/success
/error
/check ( типа где каким то образом проверяются хэши и удостоверяется честность платежа )

Смотрел оф. доку подключения. Но не нашел способ получать данные о платежах через API.

Мб можно например передавать с килента на сервер какой-то идентификатор успешного платежа или еще что-либо в дополнение по завершении платежа.
И с сервера кинуть некий запрос куда-то в API гугла и прочитать его статус?

Например по аналогии в google pay есть такой раздел, который покрывает задачу.
https://developers.google.com/android-publisher/ap...

Answer 1

[Илья С]

Вам нужен Apple Pay или Google Pay? Почему-то в вопросе всё перемешано.

Платежи Apple Pay мы реализовали по следующей схеме:

1. Оплата полностью происходит на стороне приложения. Бекенд не участвует никак.
2. Затем приложение сообщает бекенду об успешной покупке, посылая чек (receipt)
3. Бекенд проверяет присланный чек с помощью API verifyReceipt и далее засчитывает покупку и делает необходимые действия.

Важно помнить, что receipt может содержать несколько транзакций, в т.ч. те, которые были обработаны ранее. Нужно хранить ID обработанных транзакций где-нибудь в БД и обрабатывать только новые.

Comments

[EVOSandru6]

Спасибо большое!

Выходит так, что я совершил покупку x1.

Например у нее номер транзакции ( 666_12_aaa )

Т.к. это первый платеж, вероятно мне приходит массив с элементом транзакции.

Я его сохраняю

Далее делаю вторую покупку, мне приходит массив с 2-мя транзакциями ( 666_12_aaa, 666_13_bbb )

И я сверяю, что 666_12_aaa уже есть в базе и далее работаю с той, которой в базе нет.

Так?

[Илья С]

EVOSandru6, да всё верно. Я именно так и делаю в своём коде. По сути я конвертирую массив транзакций в коллекцию из моделей AppleTransaction.

[EVOSandru6]

Илья С, СПасибо еще раз!

[EVOSandru6]

Подскажите пожалуйста, я правильно делаю?

В тело кладу:

{
    "password": "Пароль в открытом виде",
    "receipt-data": "Токен покупки"
}

Получаю в ответ просто:

{
    "status": 21007
}

Хотя в responseBody заявлено большее кол-во полей для этого запроса:

environment
is-retryable
latest_receipt
latest_receipt_info
pending_renewal_info
receipt
status

Что мне изменить в запросе надо?
Или дело в настройках личного кабинета?

[Илья С]

EVOSandru6, всё написано в документации:

https://developer.apple.com/documentation/appstore...
21007
This receipt is from the test environment, but it was sent to the production environment for verification.

Alternate URL for Sandbox Testing
The sandbox URL for verifying receipts is:

POST https://sandbox.itunes.apple.com/verifyReceipt

[EVOSandru6]

Илья С, Спасибо. Что-то я больше запутался.

В итоге адрес https://sandbox.itunes.apple.com/verifyReceipt
Можно использовать в режиме и теста и прода?
Только ответ ( кол-во полей в ответе ) поменяется, если режим сменить?

Или для теста и прода разные урлы должны применяться?

Например если ответ от сервиса содержит поле status {status: 21007} ( или только его )

То это является для любого случая гарантией, что оплата прошла?

[Илья С]

EVOSandru6, там документации всего ничего)) а вы даже это не можете прочитать. Всё же отвечено:

Important

Verify your receipt first with the production URL; proceed to verify with the sandbox URL if you receive a 21007 status code. Following this approach ensures that you do not have to switch between URLs while your application is tested, reviewed by App Review, or live in the App Store.

По умолчанию запрашиваем прод. Если 21007, то перезапрашиваем то же самое на sandbox. Сам по себе код 21007 не может являться гарантией.
Хотя по-хорошему это должно настраиваться в конфиге приложения - работаем с продом или с sandbox в данный момент.

[EVOSandru6]

Илья С, Спасибо

a) Если я отправляю

curl --location --request POST 'https://buy.itunes.apple.com/verifyReceipt' \
--header 'Content-Type: application/json' \
--data-raw '{
    "password": "пароль в открытом виде",
    "receipt-data": "Токен покупки"
}'

В ответ приходит:

{
"status": 21007
}


b) Если я отправляю

curl --location --request POST 'https://sandbox.itunes.apple.com/verifyReceipt' \
--header 'Content-Type: application/json' \
--data-raw '{
    "password": "пароль в открытом виде",
    "receipt-data": "Токен покупки"
}'

Тут ответ отличается ( в том числе значение статуса ):

{
"environment": "Sandbox",
"status": 21004
}

1. Как я понимаю во втором запросе я накосячил ( Либо же это ожидаемый ответ от сервера? Либо это означает, что платеж не обработан? )
2. Как я понимаю для уверенночти нужно выполнять 2 запроса, сначала a) и потом, если вернулся status: 21007 , то далее кидаем b)
3. По идее еще критически не хватает кода заказа, чтобы внести его в базу, откуда его можно взять?

[Илья С]

EVOSandru6,

1. В апи описаны все коды статусов. 21004 означает что неправильный секретный ключ "password"
2. Именно это написано в АПИ и в моем предыдущем сообщении
3. Что за код заказа? Если это что-то ваше внутреннее, то передавайте любым удобным способом в своём АПИ.

[EVOSandru6]

Большое спасибо за консультацию.

Надо было вместо пароля вставить секретный ключ оказывается.

Ну и как я понял - https://sandbox.itunes.apple.com/verifyReceipt - УРЛ для теста
https://buy.itunes.apple.com/verifyReceipt - для прода

2 вопроса осталось.

1) Исходя из полученных данных со странным статусом - могу ли я утверждать, что все транзакции в in_app прошли успешно?

2) Если вдруг по какой-то метаморфозе в списке in_app содержится несколько НЕОБРАБОТАННЫХ транзакций ( а не одна очевидная, которую мы могли бы вычислить путем сравнений в БД . НЕсколько транзакций от одного юзера или несколько транзакций от разных юзеров)
То каким образом можно соотнести нужную транзакцию с текущим запросом верификации?

{
    "status": 0,
    "receipt": {
        "receipt_type": "ProductionSandbox",
        "adam_id": 0,
        "app_item_id": 0,
        "bundle_id": "xxx.yyy.zzz",
        "application_version": "6",
        "download_id": 0,
        "version_external_identifier": 0,
        "receipt_creation_date": "2020-12-23 10:43:42 Etc/GMT",
        "receipt_creation_date_ms": "1608720222000",
        "receipt_creation_date_pst": "2020-12-23 02:43:42 America/Los_Angeles",
        "request_date": "2020-12-23 14:46:13 Etc/GMT",
        "request_date_ms": "1608734773664",
        "request_date_pst": "2020-12-23 06:46:13 America/Los_Angeles",
        "original_purchase_date": "2013-08-01 07:00:00 Etc/GMT",
        "original_purchase_date_ms": "1375340400000",
        "original_purchase_date_pst": "2013-08-01 00:00:00 America/Los_Angeles",
        "original_application_version": "1.0",
        "in_app": [
            {
                "quantity": "1",
                "product_id": "rate1",
                "transaction_id": "secret111",
                "original_transaction_id": "secret111",
                "purchase_date": "2020-12-22 17:17:11 Etc/GMT",
                "purchase_date_ms": "1608657431000",
                "purchase_date_pst": "2020-12-22 09:17:11 America/Los_Angeles",
                "original_purchase_date": "2020-12-22 17:17:11 Etc/GMT",
                "original_purchase_date_ms": "1608657431000",
                "original_purchase_date_pst": "2020-12-22 09:17:11 America/Los_Angeles",
                "is_trial_period": "false"
            },
            {
                "quantity": "1",
                "product_id": "rate3",
                "transaction_id": "secret222",
                "original_transaction_id": "secret222",
                "purchase_date": "2020-12-23 10:43:42 Etc/GMT",
                "purchase_date_ms": "1608720222000",
                "purchase_date_pst": "2020-12-23 02:43:42 America/Los_Angeles",
                "original_purchase_date": "2020-12-23 10:43:42 Etc/GMT",
                "original_purchase_date_ms": "1608720222000",
                "original_purchase_date_pst": "2020-12-23 02:43:42 America/Los_Angeles",
                "is_trial_period": "false"
            }
        ]
    },