Тогда разработчик молодец и всё надёжно. Ответ — никак. Приглашайте юзеров ресетить пароль через почту со специальной ссылкой, как это сделано в advanced project template: https://github.com/yiisoft/yii2-app-advanced
Ну, я тоже не могу потому как третий аргумент можно не указывать. У вас в CategoryController или его предках не перекрыт случаем createUrl? Ошибку лучше всего читать полную с файлом, строкой и трейсом + файл желательно показать.
Если у вас этих моделей ещё нет, то да, создать новую директорию, создать там модели и использовать. Всё сильно зависит от того, где вы пытаетесь использовать Yii. Что это за система, на чём она написана? Что за «оригинальная» папка?
В любом случае была ошибка в описании relation-а и vyachin её показал. Читается оно так:
$this-> // у этой модели
hasMany( // несколько
self::className(), // моделей того же класса
['id'=> // ID относящейся к этой модели
'leader_id' // соответствует leader_id этой модели
]);