AuthToken如何在android生物指纹认证流程中验证？

Question

我正在寻找信息，如果 android 身份验证结果（指纹匹配成功或失败）被验证为真正来自安全区域和指纹守护程序，当它被回调到用户域时。 （安卓）

这里的文档：https://source.android.com/security/authentication，它描述了身份验证流程并分为 4 个步骤。 AuthToken 在流程中被提及：

“密钥库服务将 AuthTokens 传递给 Keymaster，并使用与 Gatekeeper 共享的密钥和支持的生物识别 TEE 组件来验证它们。Keymaster 信任令牌中的时间戳作为最后一次身份验证时间，并根据密钥发布决定（允许应用在时间戳上使用密钥）（身份验证流程的第 4 步）"

正如它所提到的，AuthToken 应该在密钥库中进行验证。

但是当我查看 android 源代码时，确实将 AuthToken 添加到 AuthenticationClient.onAuthenticated 中的密钥库中，但没有明确执行进一步的验证。

https://cs.android.com/android/platform/superproject/+/master:frameworks/base/services/core/java/com/android/server/biometrics/AuthenticationClient.java;l=226

那么AuthToken究竟是如何被验证或用来证明匹配结果的真实性的呢？

---

总而言之，我的问题如下：

1. 我假设身份验证令牌可用于验证身份验证结果是否真实（不是来自重放攻击或中间人）。正确吗？
2. 如果 1 是正确的，它实际上在身份验证流程中执行验证的位置？
3. 或者如果1不正确，它如何验证结果是真实的？更一般地说，手机上的指纹绑定支付应用程序如何保证指纹结果的真实性？

有人可以分享有关它的任何见解吗？

谢谢