android的生物指纹认证流程中如何验证AuthToken？

Question

如果 android 身份验证结果（指纹匹配成功或失败）在被回调到用户域时验证是否真正来自安全区域和指纹守护程序，我正在寻找信息。 （在安卓上）

此处有文档： https://source.android.com/security/authentication ，它描述了身份验证流程并分为 4 个步骤。 流程中提到了 AuthToken：

“密钥库服务将 AuthTokens 传递给 Keymaster，并使用与 Gatekeeper 共享的密钥和支持的生物识别 TEE 组件对其进行验证。Keymaster 信任令牌中的时间戳作为最后的身份验证时间，并基于密钥发布决策（以允许应用程序使用密钥）上的时间戳（身份验证流程的第 4 步）”

正如它所提到的，应该在密钥库中验证 AuthToken。

但是当我查看 android 源时，确实将 AuthToken 添加到 AuthenticationClient.onAuthenticated 的密钥库中，但没有明确执行进一步的验证。

https://cs.android.com/android/platform/superproject/+/master:frameworks/base/services/core/java/com/android/server/biometrics/AuthenticationClient.Z93F725A074233361C8846Z148F=248B

那么 AuthToken 究竟是如何被验证或用来证明匹配结果的真实性的呢？

---

总之，我的问题如下：

1. 我假设身份验证令牌可用于验证身份验证结果是否真实（不是来自重放攻击或中间人）。 这是对的吗？
2. 如果 1 是正确的，它实际上在哪里执行身份验证流程中的验证？
3. 或者如果 1 不正确，它如何验证结果是真实的？ 更笼统地说，手机指纹绑定支付应用如何保证指纹结果的真实性？

有人可以分享任何关于它的见解吗？

谢谢