Сергей Горностаев

Исключения - это семантика обработки исключительных ситуаций в языках программирования и механизмы реализации этой семантики в рантаймах. Статус 400 - это соглашение протокола передачи данных. Является ли для вашего программы возникновение такого статуса исключительной ситуацией - это вам лучше знать. И нет, на уровне операционной системы исключений не существует и их обработкой операционная система не занимается.

Во-первых, не map, а БД. В момент ввода пользователем города, ходить в БД, по имени города получать код и с ним делать запрос к расписанию. Табличку в БД лучше заполнить заранее нужными кодами, чтобы у свежеустановленного приложения сразу были данные, пусть даже не самые актуальные. Во-вторых, сделать фоновую задачу, которая будет периодически делать запрос к API Яндекса для обновления данных по кодам городов в БД. В-третьих, чтобы не жрать память мобильника, для парсинга 40-метрового файла использовать что-нибудь вроде Jackson Streaming API.

Во-первых, React может использоваться для SPA, но не каждый фронт на реакте - это SPA. Во-вторых, если у вас на бэкенде REST API, то фронт на реакте видится хорошим вариантом.

Ненормальная. HTTP-клиенты, включая бразуер, рассчитывают на идемпотентность GET-запросов, а потому могут выполнить его без спросу или повторить произвольное количество раз. Так что не удивляейтесь, если после захода на страницу с комментариями произойдёт их удаление, хотя вы ничего не нажимали.

https://stackoverflow.com/a/50979689/1911548

Один или два - зависит от факторов, характерных для вашей ситуации. Но если два, то логин и пароль разумнее хранить в сервисе аутентификации.

Boot - это просто автоконфигуратор и запускалка, позволяющий не писать конфигурацию контекста вручную и не разворачивать приложение на сервере приложений.

Ограничения в данном случае задаются не кодом и используемым фреймворком, а правилами REST. "Более умно" в рамках этих правил вы сделать не сможете.

Пока запущены, держат соединение с сервером. Когда закрыты, принимают новые сообщение через FCM.

Передавайте параметры в строке запроса.

Возвращать URL не оригинальной картинки, а её заранее пожатой версии.

Когда на фронте SPA, стоит использовать JWT - на успешную аутентификацию по паре логин-пароль отдавать с сервера токен, содержащий информацию о правах. Фронт будет отображать элементы интерфейса в соответствии с информацией из токена, а при действиях требующих авторизации, передавать этот токен бэку для проверки.