Ну мне кажется логичным делать как в таблицах, т.е:
GET /api/postalAddresses - получить список всех адресов;
GET /api/postalAddresses/{postalAddressId} - получить поля конкретного адреса;
GET /api/postalAddresses/{postalAddressId}/users/ - получить всех пользователей с конкретным адресом
GET /api/users/{userId}/postalAddresses/ - получить список всех адресов конкретного пользователя
GET /api/users/{userId}/postalAddresses/{postalAddressId} - получить поля конкретного адреса у конкретного пользователя.

Т.е. можно запросить и так и эдак.)

А про текущего юзера уже сказали - не надо так, ничего страшного нет в том чтоб id лишний раз послать. Если нужны какие-то ограничения, то это уже на той стороне по ролевой модели.

Очень круто! Спасибо большое!