Cara um tempo atrás eu estava com um problema com o Spring Security, procurei o que precisava em praticamente todo canto da internet e o único que me apresentou o que precisava era justamente a documentação oficial. Basicamente se eu tivesse me atentado ao que você disse nos tópicos 1 e 2 teria resolvido o problema muito mais rápido.