Spring-Security REST with Token

Мне интересна реализация Spring-Security REST with Token! Я понял что надо реализовать несколько классов (AuthenticationEntryPoint, GenericFilterBean) и включить их в логику аутентификации.

Вопрос:

1. В нашей реализации GenericFilterBean которую мы подставили в позицию position="FORM_LOGIN_FILTER", мы проверяем есть ли в параметрах запроса Токен, если есть то проверяем по Токену, если нет то по логин/пароль(если логин/пароль правильные то создаем и сохраняем Токен в базу)?
2. Когда клиент первый раз передает с запросом не токен а пароль с логином, то мы вручную с помощью ДАО проверяем в базе правильность его данных или для этого существуют готовые спринговские классы? Тотже Токен проверяем в базе в ручную?
3. В ответе всегда возвращаем Токен, а в клиента всегда принимать токен и использовать при следующем запросе?
4. Это все делается ручками, больше специальных Спринговских класов для этого нету?