Sergey

Уникального поля с ключом нет.

Вам надо в начале цикла очищать получателей.
$mail->clearAddresses();
И из цикла можете вынести те методы, которые не зависят от $row

В пост запросе обновляйте модель после сохранения и отправляйте уже со всеми данными.

await уберите у arr.push

Чтобы отображались смайлики надо задать кодировку соединения и базы данных/таблицы/поля utf8mb4

Может так?
OUTPUT_FORMAT(elf32-i386)

$data = User::find()->select(['FROM_UNIXTIME(created_at, "%Y-%m-%d") as date', 'COUNT(id) as value'])->where(['FROM_UNIXTIME(created_at, "%m")' => $month])->groupBy(['FROM_UNIXTIME(created_at, "%d")'])->asArray()->all();

Так вы пытаетесь получить значение атрибута data-product_id, который не прописан в теге а.
Второе: если вы через аякс отправляете запрос, зачем href прописываете?

Проблема не только в правах, но и в том, кто ими владеет. Например, если с файлами вы работаете под www-data, а сервер апач или какой то иной, под apache, то их нужно поместить в одну группу, чтобы групповые права на запись были к нужным объектам.

Вручную логинитесь, сохраняете куки, пишете код, чтобы подгружать их при загрузке страницы.
Я с селениума перешёл на puppeteer. Там с этим гораздо проще.

1. Сохраняете вложения из формы на сервере.
2. Создаёте функционал для работы с ними: сохранить, скачать.
3. Отправляете ссылки в email сообщении.
4. Отправляете ссылки в телеграм.