un1t

Статику и медиа надо веб сервером раздавать, а не джангой.

Вобшем я копал-копал эту багу, сделал отдельный проект - не воспроизводится.
Вобщем выяснился такой интересный момент
Такой код как выше работает, а не работает вот такой код

class PhotoViewSet(viewsets.ModelViewSet):
    queryset = Photo.objects.all().prefetch_related('tags')
    serializer_class = PhotoReadSerializer

Пока как временное решение вижу можно использовать такой вариант

class PhotoViewSet(viewsets.ModelViewSet):
    queryset = Photo.objects.all().prefetch_related('tags')
    serializer_class = PhotoWriteSerializer

    def get_queryset(self):
        if self.request.method in permissions.SAFE_METHODS:
            return self.queryset
        return Photo.objects.all()

https://docs.djangoproject.com/en/1.8/howto/custom...

Похоже ты не ту папку прописал в конфиге nginx.
Команда collectstatic в конце показывает в какую папку все скопировалось. Проверь соотвествует ли это тому что в конфиге nginx.

После set_password еще как минимум save надо сделать. Через админку поменяй парлоь, чтобы точно быть уверенным, что он верный.

Ну и вот этот кусок выглядит странно,

if username is None:
    username = email

авторизация же по username идет, а если ты тут email подставляешь

Такой код позволяет отправить пост запрос в котором нет указанных полей и ты об это не узнаешь.

username = data.get('username', None)
email = data.get('email', None)
password = data.get('password', None)

Хотя бы для теста ассерты вставь. Может верстальщик там намутил че, поля переименовал.