Nokyta

Так же существует другой вариант, а именно сохранять сессию в бд. За это отвечает класс CDbHttpSession подключаем в конфиге, настраиваем и зная чья и когда сессия была создана/обновлена. Все зависит от задачи.

Надо писать костыль. Т.к. аяксом файлики не бегают (если конечно не реализовано при помощи blob и XHttpRequest2). Вам придется прикручивать специальный аплоадер который костылем реализовывает фоновую отправку файла, на сервере валидировать, и при помощи callback'ов выводить ошибки.

Если в модели есть методы которые используются в формах (кастомные валидации при создание/редактирование пользователя), то имеет смысл вынести их в UserForm наследованный от CFormModel и будет использоваться для форм.
В поведение обычно выносятся методы которые используют две или более модели, т.е. методы для одной модели туда выносить бессмысленно.

А чем не устроил стандартный метод search() в модели? В атрибуты модели загоняем все, что надо из гета, валидируем и потом получаем данные из поиска.