Ты упомянула сессию пользователя — что нам нужно изменить в нашем API, чтобы учитывалась авторизация/сессия пользователя (прогресс, доступные квизы)?

Нужно идентифицировать пользователя на сервере и привязать прогресс и доступ к его учётной записи.

Добавьте проверку сессии или токена и ownership каждого ресурса; user_id из тела запроса не является доказательством доступа. Возвращайте разрешённые квизы и прогресс через персональные ручки, исключив утечки через общий кеш и проверяя разрешения при записи.