已上线iOS应用Apple Pay支付处理证书续期相关问题咨询

• 支付处理证书无法直接续期、必须创建全新证书的说法完全准确。苹果未给Apple Pay支付处理证书提供直接续期入口，所有证书替换操作均需生成全新证书，不存在一键延长旧证书有效期的选项，规则和APNs推送证书一致。
• 创建新证书时不仅可以沿用旧证书绑定的merchant ID，常规场景下必须沿用。Merchant ID是Apple Pay收款身份的唯一标识，单个merchant ID下支持同时挂载多份有效支付处理证书。如果新建merchant ID反而会导致线上App已配置的支付参数不匹配，直接触发支付失败。
• 新证书创建完成后旧证书不会立即失效。新证书生成后，旧证书会持续保持有效状态直到自身标注的到期时间，完全支持提前1-2个月生成新证书完成部署、灰度验证，等旧证书自然到期即可，不会出现新证生效立刻打断线上支付的情况。注意不要手动点击旧证书的「吊销」按钮，手动吊销才会让旧证书立刻停止服务。
• 证书生效逻辑和CSR来源无关：你在创建证书流程中上传哪份CSR，最终生成的就是和这份CSR匹配的有效证书。CSR仅用于匹配对应的公私钥对：如果是自处理支付流程，用本地Keychain生成的CSR出证，对应私钥存在本地钥匙串，部署到自有支付服务端即可；如果是用第三方支付服务商代处理支付，用服务商提供的CSR出证，对应私钥在服务商侧，把生成好的证书传给服务商配置即可。同一个merchant ID下可同时存在多份用不同CSR生成的有效证书，苹果支付网关会自动匹配可用证书完成链路校验，不会出现新证书覆盖旧证书导致解密失败的问题，只要把对应证书部署到持有匹配私钥的服务端就能正常工作。

内容的提问来源于stack exchange，提问作者iosdev1111