AppleのテクニカルノートTN2259「iOSおよびMacアプリケーションへのアプリ内購入の追加」には次のように記載されています。
必ず最初に本番URLで領収書を確認してください。21007ステータスコードを受け取った場合は、サンドボックスURLで確認してください。このアプローチに従うことで、アプリケーションがサンドボックスでテストまたはレビューされている間、またはAppStoreで公開されているときにURLを切り替える必要がなくなります。
しかし、これはセキュリティ上の脅威ではありませんか？つまり、誰かがテストアカウントを使用して、実際の支払いなしで購入できるサンドボックスレシートを作成できますか？