Apple DeviceCheck开发与生产环境API调用有差异？生产返回400错误

开发与生产环境的核心差异 #

• 证书与签名：开发环境使用Apple开发者后台的「DeviceCheck开发证书」生成JWT签名；生产环境必须使用「DeviceCheck生产证书」，两者不能混用，否则签名验证失败会触发格式类错误。
• 设备Token来源：开发环境的deviceToken来自调试版App（含模拟器）；生产环境必须使用正式分发版App（App Store/TestFlight/Ad Hoc）获取的生产环境token，沙箱token调用生产API会直接报错。
• API端点与JWT参数：
  • 开发端点：https://api.development.devicecheck.apple.com，JWT的aud字段需设为该端点
  • 生产端点：https://api.devicecheck.apple.com，JWT的aud字段必须匹配此端点，且注意生产端点末尾无斜杠，请求时不要额外添加
• 校验严格度：生产环境对请求格式、参数合法性的校验远严于开发环境，开发中能通过的松散格式在生产会直接触发400错误。

针对「400 Missing or incorrectly formatted bits」错误的排查要点 #

• 检查bits字段格式：必须是长度为2的JSON数组，元素只能是0或1，示例：{"bits": [0, 1]}。不能用字符串、单个数字或其他格式，生产环境会严格校验数组结构和元素值。
• 确认请求规范：
  • 必须使用POST方法
  • 请求头Content-Type需设为application/json
  • 请求体必须是合法JSON，不能存在语法错误（比如多余逗号、引号不闭合）
• 验证JWT的正确性：
  • 签名算法必须为ES256
  • iss字段为你的Apple Team ID
  • aud字段严格匹配生产API端点
  • iat（签发时间）和exp（过期时间）需在有效范围内（exp不能超过iat之后1小时）
• 核对设备Token：生产环境的deviceToken需是正式版App获取的原始值，正确进行Base64编码，不能包含多余空格、换行或其他字符。

内容的提问来源于stack exchange，提问作者Arslan Ahmad