PHP接入Apple登录：使用firebase/php-jwt验证Identity Token全流程

准备条件与环境安装

在PHP环境中验证Apple Identity Token，需要依赖成熟的JWT处理库。推荐使用Composer安装的 firebase/php-jwt 库，它能安全地解码、验证和签发JWT令牌。

执行以下命令安装：

composer require firebase/php-jwt

前端集成与Token获取

在进行后端验证前，需确保前端（如UniApp环境）已正确配置Apple登录。通过调用原生登录接口可获取包含 identityToken 的数据结构。以下是UniApp中的标准接入逻辑，用于获取授权结果：

let type = 'apple'
uni.getProvider({
    service: 'oauth',
    success: function(res) {
        if (res.provider.includes(type)) {
            uni.login({
                provider: type,
                success: function(authed) {
                    console.log('三方登录获取用户信息成功', authed)
                    // Apple 登录这儿可用 authed.authResult 或 authed.appleInfo 得到授权数据
                    // authResult.access_token 与 appleInfo.identityToken 相同；authResult.openid 与 appleInfo.user 相同
                    // TODO: 将 identityToken 发送至后端 PHP 接口进行验证
                },
                fail: function(err) {
                    console.log('三方登录获取登录信息失败', err)
                    if (err.errCode === 1001) {
                        // 登录已取消
                    } else {
                        // 其它错误情况
                    }
                }
            })
        } else {
            // 当前环境不支持该登录方式
        }
    },
    fail: function(err) {
        console.log('获取三方登录信息异常', err)
    }
})

解析JWT头信息

Apple下发的 JWT (Identity Token) 是Base64URL编码的三段式字符串。在验证签名时，我们只需头部（Header）中的 kid (Key ID) 字段来确定使用哪个密钥。为避免全量解码的性能损耗，可仅截取第一段进行解析：

// 截取至第一个「点」的位置为 JWT 头
$header = json_decode(base64_decode(substr($token, 0, strpos($token, '.'))), true);

获取与缓存Apple公钥

Apple提供了一个公共端点用于获取用于签名验证的RSA公钥集：

https://appleid.apple.com/auth/keys

性能优化建议： Apple的公钥极少变更，且响应内容固定。建议在服务端首次请求后，对JSON数据进行解码（$keys = json_decode($keys, true)）并持久化缓存（如Redis或本地文件）。后续验证直接从缓存读取，避免不必要的网络I/O。

解析公钥集合

利用已安装的 Composer 库，将原始JSON格式的公钥集合解析为内部数据结构，方便后续检索：

$parsedKeys = \Firebase\JWT\JWK::parseKeySet($keys, true);

匹配目标密钥并验证

验证的核心在于：只有持有对应私钥的Apple才能生成与公钥匹配的签名。 步骤如下：

1. 匹配Key ID： 从JWT Header中提取 kid，在解析后的公钥集合中查找对应的公钥对象。
2. 执行解码： 调用 JWT::decode() 方法，传入Token、密钥及算法约束。

具体代码实现与异常捕获：

try {
    // $header['kid'] 确定使用哪个公钥解码
    $decoded = \Firebase\JWT\JWT::decode($token, $parsedKeys[$header['kid']]);
    
    // JWT 中 sub 即为 OpenID，这是Apple分配的唯一且不重复的用户标识
    $openId = $decoded->sub;
} catch (\Firebase\JWT\ExpiredException $e) {
    // Token有效期通常为10分钟，过期后需重新发起登录流程
    throw new Exception('Apple ID授权已过期');
} catch (\Firebase\JWT\SignatureInvalidException $e) {
    // 签名无效，说明Token被篡改或使用了错误的公钥
    throw new Exception('Token签名验证失败');
} catch (\Exception $e) {
    // 其他未知异常处理
    throw new Exception('验证过程发生错误: ' . $e->getMessage());
}

关键判断逻辑说明

在尝试解码前，必须先确认公钥存在，防止因 kid 不匹配导致的空指针或无效签名尝试：

if (!($parsedKeys[$header['kid']] ?? null)) {
    throw new \Exception('JWT decode failed - Key ID not found');
}

注意事项与安全规范

• 数据可信度： 前端传回的 user 字段虽也是OpenID格式，但属于明文传输且易伪造，绝对不可信。必须以后端解码JWT得到的 $decoded->sub 为准。
• 时效性： Identity Token的有效期极短（通常约为10分钟），过期即失效。若用户在有效期内多次登录，建议建立Session机制而非每次都校验Token。
• 隐私保护： 若用户在登录时选择“隐藏我的邮箱”，Apple会生成专用的私有Email（如 privaterelay.appleid.com 域名地址），该地址同样关联上述OpenID。

以上就是PHP接入Apple对access_token/identityToken进行JWT验证流程的详细内容和代码示例，更多关于PHP OAuth集成与iOS账号体系的资料请关注本站其它相关文章！