Rails环境下解码App Store服务器通知Payload的方法是否正确？

你的解码方式是否正确？ #

你的实现思路是符合Apple官方验证规范的，核心逻辑没问题：

• 从JWS头部的x5c字段提取证书链，拆分出目标证书和中间证书
• 用AppleRootCA-G3根证书构建信任库，完成目标证书的合法性验证
• 验证通过后使用目标证书的公钥解码JWS payload

不过有几个细节需要注意：

• 必须确保AppleRootCA-G3.cer是从Apple官方渠道获取的有效根证书，避免使用过期或伪造文件
• 验证证书链时，要确认目标证书的颁发者是Apple的中间CA，确保证书链的层级正确
• 额外检查证书的有效期，避免因证书过期导致验证失败

其他可行的解决方案 #

方案1：通过Apple公钥端点动态获取公钥 #

Apple提供了用于验证JWT的公钥端点，可直接请求获取最新公钥，无需手动管理根证书：

require 'net/http'
require 'json'
require 'jwt'

# 请求Apple公钥端点
uri = URI('https://appleid.apple.com/auth/keys')
response = Net::HTTP.get(uri)
keys = JSON.parse(response)['keys']

# 解码JWS
notification_payload = JWT.decode(
  signed_payload,
  nil,
  true,
  algorithm: 'ES256'
) do |headers|
  # 根据头部的kid匹配对应公钥
  key = keys.find { |k| k['kid'] == headers['kid'] }
  JWT::JWK::RSA.new(key).public_key
end

该端点适用于Sign In with Apple和App Store服务器通知的JWS验证，因为Apple采用统一的密钥体系。

方案2：使用第三方gem简化实现 #

Ruby生态中有成熟的第三方库封装了证书验证和JWS解码逻辑，比如apple_store_server_notifications，能减少手动实现的出错概率：

# 先安装gem：gem install apple_store_server_notifications
require 'apple_store_server_notifications'

client = AppleStoreServerNotifications::Client.new
notification = client.decode(signed_payload)
# 直接访问解析后的通知内容：notification.data

内容的提问来源于stack exchange，提问作者Beu