Vou responder o 3 pra você: essa dúvida é comum. As pessoas resolvem isso criando versões diferentes de API. Ou seja, não altere sua API pq alterou o app.
Eu sempre tenho essa discussão com meu sócio no início dos projetos: lançar logo o app ou esperar mais um pouco? A gente sempre decide esperar a API ficar madura para que não seja necessário mudar depois.

Pq esse tempo de aprovação é só UM dos empecilhos.

Eu conheço gente que só atualiza os aplicativos quando alguém chega e diz: viu aquele aplicativo tal que tá fazendo aquilo? Aí a pessoa diz que não apareceu pra ela. Aí o outro diz pra ver se tem alguma atualização pra fazer e quando ele pesquisa, o app está há 2 anos sem atualizar. Esse é um caso real.

Então para que meus projetos não tenham várias versões de rotas, eu só lanço o app após não existirem mais ajustes no que já está funcionando.

Resumo: crie uma rota nova com a autenticação nova. Os apps novos usarão ela e os desatualizados usarão a velha. Quando você tiver certeza que ninguém mais usa a velha, você pode removê-la.