使用 IAP 时，购买凭证（receipt）需要由服务端向商店的验证接口校验，确认交易真实有效后再为用户开通权益；仅凭客户端返回的「购买成功」就放行容易被伪造请求绕过。