Александр

Вы меня, конечно, извините, но зачем ограничивать пользователя в выборе пароля? Зачем ограничивать длину пароля сверху? Зачем вырезать спецсимволы из его пароля, если он все равно будет хэширован (вы ведь хэшируете пароль, а не храните его plain текстом?)? Просто ограничьте минимальную длину пароля символами шестью.

P.S. И вообще как же меня выводят из себя всякие ограничения для пароля, типа: введите одну цифру, одну букву, одну букву в верхнем регистре, один спецсимвол, один китайский иероглиф. Для людей, которые делают такие формы, в аду, наверное, есть отдельный котел.

Для связи php и ноды используют redis. Пишем в редис, что нужно отправить, нода слушает редис и отправляет, что найдёт. Гуглите решения.

Читал, что валидация полностью завязана на ActiveFrom

Только клиентская. Валидация имеет 2 части, грубо говоря. 1 - на сервере, 2 в виде js скриптов, которые подключает active form. Так что в случае с ajax, совсем не обязательно использовать activeForm, хотя activeForm подразумевает вариант и с ajax валидацией.

ActiveForm это те же формы, но со стероидами. Все плюсы этого виджета сводятся к автоматической проверке большинства стандартных валидаторов Yii на стороне клиента + возможность AJAX-валидации + автоматизированная подсветка ошибок формы с предыдущих запросов.
Вы можете не использовать ActiveForm, а использовать либо чистый HTML, либо хелпер \yii\helpers\HTML, и уже самому навешивать те обработчики, которые вам нужны, а для Yii2 оставить только серверную валидацию.
Вообще в обсуждениях Yii2 все идет к тому, что они будут постепенно выносить все эти FrontEnd-виджеты в отдельные пакеты, а Yii2 именно сосредоточится на "серверном" коде. Так что если вам не нужно использовать ActiveForm - вы вольны использовать свои frontend-технологии.

Ряд поправок сходу. Изучите генерацию name в input Yii2 - сэкономит немало времени. Суть в том, что они используют по умолчанию "пространства имен" для мультиотправки нескольких форм да порядка в коде. Например, name input-тега для заголовка новости может иметь название News[header], где первая часть - обычно название класса, если поведение не переопределено в классе методом formName, а в скобках - название поля.
Это упрощает валидацию нескольких разных моделей.
Немного сложнее устроен "табличный ввод", но это уже направляю вас к документации.