ご報告ありがとうございます。

コードを確認したところ、この関数では $form_state['values'] を $form_values に受け取っていますので、ご指摘のとおり

user_authenticate_finalize($form_values);

が正解ですね。
原著にあったtypoですが、編集時に気づきませんでしたので、エラッタに追加させていただきます。

今後も何か気づいた点があれば、ご報告いただければ幸いです。