验证 StoreKit 收据时(我正在使用ReceiptKit)。您需要Apple 根证书。
是否可以将其包含在 App 捆绑包中,或者我应该每次都下载一个新副本?
他们似乎都有风险?
我找到的所有参考资料都建议下载证书并将其存储在您的捆绑包中。我不建议即时下载它。
您引用的存储库推荐它:
在制定自己的解决方案时,我搜索了 Apple Docs、教程和许多示例存储库,从未考虑将其下载到设备上。这似乎是一个明显的攻击点。这个想法是,您可以肯定证书在运输时有效,如果您即时下载,则无法 100% 确定它的来源。
Apple 根证书预装在计算机上。但是,如果用户将安装假根证书,则可以验证假收据。但是,另一方面,当根证书更改或过期时,您将无法使用本地存储的证书验证收据,这让用户感到沮丧。