新しいルートを作成し、スタッフと現在のユーザー以外の人が閲覧できないようにガードする必要があります。おそらく、現在行っているシリアライズよりもはるかに複雑になるでしょう。
以下のような方法で実現できると思います。
add_to_serializer(:user, :manager_status) {
return object.manager_status if object.admin || object.staff
}
思い付きですが、現在のユーザーオブジェクトを取得して一致を確認するために、少し工夫が必要かもしれません。