Создайте в БД какой нибудь столбец (например hidden) и если профиль скрыт, то пусть стоит значение 1, а если нет, то 0. При обращении к профилю проверять скрыт ли профиль или нет и выводить информацию

Да, токен потеряет свою силу. А избежать 17 ошибки не удастся, пока пользователь не подтвердит себя с IP другого пк

Брать токен пользователя Standalone, или просить СПП дать доступ к wall для сайтов