Сергей Тихонов

У Вас сериалайзер не валидный, что буквально означает непустой `.errors`. Посмотрите что там.

"всё падает" - да у вас там землятресение походу
Если бы вы привели полностью сообщение об ошибке с traceback, то там было бы что-то вроде TypeError: 'int' object is not iterable, потому что в args надо передавать список неименованных параметров.

только посты которые записаны только на его имя.

Достаточно переопределить get_queryset() во ViewSet, либо написать пермишн, который проверит владельца объекта.

полностью скрыть все ссылки

Отключите APIView и не используйте стандартный пагинатор и URLField.

иметь возможность получать информацию только из requests

Проверяйте заголовок user-agent, но учитывайте, что его можно хоть подделать тем же requests.

Django маршрутизирует запросы без учёта методов, поэтому первый ресурс обслуживает и post тоже. Отсюда и 405 ошибка.

Используйте cbv и viewsets

serializer_classes = {
  'create': MyCreateSerializer,
  'retrieve': MyRetrieveSerializer
}

def get_serializer_class(self):
    return self.serializer_classes.get(self.action, self.serializer_class)

Ну и при создании объекта инстанцировать два сериалайзера: один "создающий", другой "возвращающий".

JWTAuthentication класс зовется. Опечатка у вас.

А настройка в settings это не то?

Вообще говоря FileField/ImageField в DRF в виде ссылки на скачивание обычно представляются, но у вас вообще None, значит поле в модели не заполнено. Сравнивать с файлом бесполезно.

def get_diff(self, obj: User):
    for wallet in obj.wallet_set: # type: Wallet
        do_your_computations()

В философии RestFramework get-параметры чаще всего используются как аргументы для фильтров в API списка объектов. Если Вам подойдет вариант, когда по ссылке /user/?email=email@example.com возвращается массив из 0 или 1 элемента (для уникальных email), то добавляйте в UserViewSet filter_backend, либо просто используйте напрямую request.query_params в filter_queryset.
Если же Вам жизненно необходимо, чтобы API списка объектов иногда возвращало массив, а иногда словарь - тут ни я ни rest framework вам не помощники, пишите ручками.

Поскольку схема ответа меняется, то описать список полей через сериалайзеры не получится.

Person = SerializerMethodField(method="get_person")

def get_person(obj):
    return {"name": ..., "passport": ...}

Но вооще лучше переделать схему ответа на список документов внутри Person.

Реализуйте метод модели, который делает то, что вам надо, и просто вызывайте его в update.

App.objects.prefetch_related(Prefetch('rating_set', queryset=Rating.objects.filter(user=self.request.user))

app.rating_set[0].star

Примерно как-то так. Со стороны App рейтинг это отношение один-ко-многим, так что select_related не прокатит. prefetch_related сделает для каждого приложения массив всех оценок, а указание queryset в Prefetch сократит этот массив до оценки текущего пользователя (если она есть).
Со стороны сериалайзеров дальше лучше всего запилить SerializerMethodField

Пермишны (403) - это когда известен пользователь, но прав доступа у него нет. А у вас 401 Unauthorized - бекенд пользователя не авторизовал. См. authentication_classes. Если пользователь не авторизован - всегда будет 401 ошибка. Отключаем авторизацию - и тогда непонятно, как пользователь вообще может быть админом в таком случае (если его только джанго через сессию авторизовала наверно)

Документация по загрузке файлов не поможет?

DRF позволяет во вьюхе делать self.request.user, а в сериалайзерах - достучаться до вьюхи через контекст: self.context['view'].request.user

login(requests, user) - опечатка.