Адрес меняется - html5 history api или window.onhashchange.

Бесконечная прокрутка - примерный принцип такой: слушать событие прокрутки, при скором приближении конца страницы делать очередной ajax-запрос следующей пачки новостей, запомнить id самой последней в списке, отрисовать внизу полученные новости. При следующем приближении к концу прокручиваемой страницы повторить с отправкой запомненного id и сохранить свежеполученный. Повторять пока юзер не просмотрит всю базу чего бы это ему не стоило.

https://redux.js.org/docs/recipes/ServerRendering.html
Я по этому гайду смог достичь желаемого функционала. Вместо Express заюзал более современный Koa. Суть в том, чтобы при обращении к нужной к рендерингу страницы, (если нужно, асинхронно) заполучить некие данные, выстроить на их основе первоначальное состояние store, выполнить renderToString из 'react-dom/server', полученный html внедрить в основной html, также внедрить в основной html состояние стора после рендеринга (см. window.__PRELOADED_STATE__ по ссылке) и выдать итоговый ответ в браузер. Далее на клиенте заюзать createStore, используя содержимое переменной стора, полученной от сервака, и юзать не ReactDOM.render, а ReactDOM.hydrate.

Нет, хранить пароли в первозданном виде не стоит. Обычно хранят хэши, а правильность ввода при авторизации производят посредством хэширования введённого значения по тому же алгоритму, что и сохранённый в базе и последующей их сверкой.