через json_decode(https://www.php.net/manual/ru/function.json-decode.php) преобразовываете ваш json в обычный php-массив и дальше работаете просто с массивами. после всех манипуляций преобразовываете массив обратно в json.

Если вы собираетесь заниматься чисто бэкендом, этих знаний будет вполне достаточно.
Дело в другом. Часто встречаются вакансии вида:

Требуется backend-разработчик.
Требования:
OOP, MVC, TDD.
...
Ещё куча умных слов, которые кроме как в вакансии в данной конторе больше нигде не встречаются.
...
Отличные знания Laravel и,или Symfony.
...
Пока полёт нормальный.
...
Отличные знания HTML, CSS, JS.
Отличные навыки кроссбраузерной вёрстки.
Отличные знания таких JS-фреймворков как React и,или Angular.
Желателен опыт работы с React Native.
Обязателен опыт системного администрирования.
Обязателен опыт управления транспортными средствами категорий A,B,C,D.
Очень желателен опыт приготовления вкусного кофе, т.к. наш шеф его очень любит.
Желателен опыт игры на баяне, или любом другом музыкальном инструменте.
...
И так далее.

Напомню, что речь идёт о вакансии, предполагающей backend-разработку.

Когда мне очередной HR делает предложение, от которого я не смогу отказаться, я три раза уточняю точно ли им нужен бэк. Когда-то поленился, уточнил два раза и пришшлось заниматься в том числе и фронтом.
И чётко оговариваю перечень обязанностей. Что они ожидают и на что я согласен.

Т.е. или бэкенд, или пускай честно говорят, что им нужен фулстек.

Вообще, нужно знать и понимать фронт. И HTML, и современный CSS, и современный JS, включая Vue и прочие реакты.
Лишним оно точно не будет.
Кроме того, работая backend-разработчиком, вам придётся общаться с фронтами. И лучше, если вы будете разговаривать на одном языке.
Да и просто лучше разбираться в том, как это всё работает вместе.

Но если вы нацелены именно на backend, достаточно будет знать frontend-технологии на базовом уровне. Глубокие знания не обязательны. А если получится изучить это всё углублённо, то вам только плюс.

Внутри самого Yii2. Очевидно же.

И вот пользователь из своего личного кабинета должен отправлять различные запросы, то есть к примеру получить данные своего профиля, или свои сообщения.

что бы пользователь не мог получить сообщения к примеру чужого пользователя, отправив запрос с не своим ID.

В таких запросах никакой id вообще не должен никуда отправляться.
У вас есть аутентифицированный пользователь вот через него и получайте все принадлежащие ему данные. Повторюсь, никакой id никуда отправлять не нужно.