rememberme token key에 관한 질문입니다.

안녕하세요 선생님 질문이 있습니다.

TokenBasedRememberService#processAutoLoginCookie 과정에서

String expectedTokenSignature = makeTokenSignature(tokenExpiryTime, userDetails.getUsername(),
      userDetails.getPassword());
if (!equals(expectedTokenSignature, cookieTokens[2])) {
   throw new InvalidCookieException("Cookie token[2] contained signature '" + cookieTokens[2]
         + "' but expected '" + expectedTokenSignature + "'");

위와 같이 해당 RemeberService가 생성되었을시 주입받은 key를 가지고 md5 방식으로 tokenSignature를 만드는것을 확인하였습니다.
이것을 받아온 rembemer me token하고 비교하는 것을 확인하였습니다.

질문이 2개입니다.

1) 이 과정을 거쳐서 만든 RememberMeAuthenticationToken 은
왜 아직 ProviderManager.authenticate를 거치지도 않았는데 authenticated=true인것 인가요?

2) 위의 인증객체(RememberMeAuthenticationToken )를 인증할때 RememberMeAuthenticationProvider#authenticate에서 key값을 추가적으로 비교하는 이유가 다른 질문을 찾아보니
"그리고  RememberMeServices 인터페이스를 커스텀하게 자체 기능을 구현할 수 있기 때문에 이 때에도 위와 같은 인증단계의 규칙을 거치게 함으로서 상호간 key 가 일치하지는 여부를 체크하기 위함이기도 합니다."

하셨는데 key가 달라도 MD5digest해서 나온 값이 같을 수도 있어서 추가적으로 검증한다고 이해하면 되나요?