Наоборот: рендерить нужно posts.html, а base.html подтянется через extends.

Несколько кнопок в форме django?

if 'abc' in request.POST:
    ...

MyUser.password видимо хранит хешированный пароль (или вы его храните в открытом виде?). И при User.set_password() получается хеш от хеша

Во фласке по умолчанию клиентские сессии (словарь сессии шифруется с использованием secret_key и кладётся в cookie).

Подробнее про сессии во фласке:
https://flask.palletsprojects.com/en/1.1.x/quickst...

Для хранения сессий на севере (когда у пользователя в куках только session_id) есть расширения, например:
https://pypi.org/project/Flask-Session/

Миграции в двух аппках зависят друг от друга (pizza_auth_app от pizza_app). Миграции в pizza_app были удалены, а в pizza_auth_app остались и ссылаются на удалённые из pizza_app. Так?