概要

identityToken というJWTがアプリから届いてパースしてsubをユニークキーとして認証するのですが
改ざん防止の為、正しくデコードする必要があります。

細かいことはバージョンが違ったり環境で変わってくると思うので大まかな流れだけ書いておきます。
※コメントで指摘をもらったのですが、これだけではAppleが発行したことしか担保出来ないため
別のアプリからの認証もしてしまうので足りていません。後日ドキュメントを追加するなりします。
追記しました。

以上！！

要所要所の僕が使った部分を以下に記載してるので参考になれば幸いです。

JWTとは

JWT（ジョット）とは JSON Web Token の略で、電子署名付きの URL-safe（URLとして利用出来る文字だけ構成される）な JSONのことです。
電子署名により、JSON の改ざんをチェックできるようになっています。

ざっくり言うと、改ざんできない JSON ということになります。

こちらのサイトでパース出来るので便利でした。
https://jwt.io/

JWTの検証にFirebaseのライブラリを使ったのですが、複数の鍵で署名されてる場合
配列で鍵を指定出来るのですが形式が以下のような形なので変換して上げる必要があります。

Appleの鍵の中にあるeとnを使ってPEMを作れるので頑張って作ります。
この方の記事をめちゃくちゃ参考にさせてもらいました。
【PHP】AzureAPIなどで配布されている公開鍵の「e」「n」とはなにで、どう使うのか

$publicKeys = [
    'kidの値' => 'PEM形式のテキスト',
    'kidの値' => 'PEM形式のテキスト',
];

Firebaseのライブラリを使って
アプリから投げられた identityTokenとさっき作った公開鍵の配列とAppleの鍵に書いてあった alg の値 RS256を指定すれば
改ざんされてなければJSONが返ってきます。

$payload = JWT::decode($identityToken, $publicKeys, ['RS256']);