В api не используется сессия, а следовательно необходимо передавать какой-нибудь флаг для определения текущего пользователя, наиболее оптимальным решением является токен.
Если вам необходимо работать с ajax запросами в рамках одного сайта (не приложение, не spa и т.п), то возможно стоит не использовать api, а обычные методы. Например, я использую обычные контроллеры в неймспейсе Ajax
Если я правильно понимаю, то user-categories должен вам возвращать массив id категорий и всё должно отрабатывать. Если возвращаются категории целиком, тогда в chosen надо пушить только id