httpステータスコードについて

httpステータスコードは誰が返却してくれるもので、また自動で返却されるものなのか知りたいです

Spring boot（tomcatが含まれたjar）にてhttpサーバを作成しました。RestAPIでJsonを返却する仕組みを利用する予定です。

そこで状況に応じた適切なhttpステータスコードを返却しようと思うのですが
そもそもhttpステータスコードって誰が返してくれるもの何だっけ？どうやったらこちらでコントロールできるか？
を整理したく質問させて頂きました。

私としては下記の理解なのですがおおよそあっていますでしょうか？
特に確認したいのは何もしなくてもある程度自動で返却されるものですよね？というところです。
ただしアプリケーションサーバ内でバリデーションチェックに引っかかった場合などは、こちらで適切なステータスコードを設定しなければ常に「200 OK」が返却されてしまう認識です。
どなたか教えていただけると幸いです。

◆あってるか確認したい今の理解
①httpステータスコードはサーバが返却するもの
②今回で言うと本jarに含まれている「tomcatの機能」でサーバになるためtomcatが自動でhttpステータスコードを返却してくれる
③上記のステータスコードの振る舞いを上書きしたい場合は、プログラム側（今回はSpringアノテーション）で上書きを行う必要がある
④自動でhttpステータスコードを返却してくれているとはいえ、アプリケーションサーバ内で起きたことまでは把握できないのでプログラム側で何もしなければ常に「200 OK」が返却される。変えたければプログラムを記載する必要がある。