Кирилл Арутюнов

Статические переменные. Начни с основ PHP.

Если ваша цель — поучиться, то собирайте на бейсик/эдвансед. Разница не принципиальна, в эдвансед чуть сложнее будет разобраться, но привыкнете. Лучше даже эдвансед взять, потому что по мере роста сложности проектов, вы на него всё равно перейдёте.

Если же цель — сделать знакомому сайт и сделать задачу хорошо, то лучше возьмите Вордпрес, например. Это быстрее, и знакомому потом проще будет управлять сайтом.

Проверьте наличие CSRF-токена в форме. Чаще всего эта ошибка именно из-за него. Тем более, если в логах написано "не удалось проверить данные".

Надо сначала отключить ассет-бандлы в конфиге, подключить свои стили и скрипты вручную:

'components' => [
        'assetManager' => [
            'bundles' => false,
        ],
 ],

Если помогло, значит какое-то расширение подключает свои стили, а те запрашивают нужные шрифты. Починить можно с помощью наследования и переопределения Ассетов. Смотрите, что подтягиваете из нестандартного. Попробуйте поискать с помощью «Поиск текста во всём проекте». И шрифты можно подключить так:
//fonts.googleapis.com/...

urlManager надо настроить в конфиге.
В документации же всё есть. Или вы там не смотрели?

Начинаете набирать /** перед методом и жмете enter, иде сама сгенерирует комментарий.

В компонентах настройте user. loginUrl отвечает за адрес, куда редирект будет осуществляться.
Можете также другие опции посмотреть в компоненте yii\web\User.

'user' => [
    ...
    'loginUrl' => ['/account/login']
],

$searchModel настроить не забыли?

Так добавьте условие, чтобы он искал пользователей со статусом 10 и 3.

return static::findOne(['username' => $username, [
    'or', ['status' => self::STATUS_ACTIVE], ['status' => self::STATUS_MODERATE]
]]);

Могут быть синтаксические ошибки, поскольку не проверял.

Также не забудьте про rules()

['status', 'default', 'value' => self::STATUS_ACTIVE],
['status', 'in', 'range' => [self::STATUS_ACTIVE, self::STATUS_DELETED]],

В afterSave передаются $insert и $changedAttributes — вам нужно дернуть только при $insert, насколько я понимаю.

Делаете проверку if($insert) и обновляете запись, указывая путь до файла, сохраняетесь. После этого сохранения $insert будет уже false, потому что у модели уже будет айдишник.

Попробуйте отключить csrf. Скорее всего сработает.

Откуда шлете данные?
Стоит помнить, что frontend и backend — разные приложения и если их одновременно открывать в одном браузере, то они будут генерировать разные csrf из-за чего отправка форм всегда будет заканчиваться 400 ошибкой.

Как это происходило у меня: открыл форму редактирования в админке, что-то поправил, обновил страницу на фронтенде, посмотрел, продолжил правку в бекенде, нажимаю сохранить, но форма уже не отправляется, потому что csrf уже неверный.

Как часто данные будут заполняться? Что за форма такая с 320 полями? Неужели нельзя данные сгруппировать?

Как минимум стоит использовать wizard для пошагового заполнения формы.
В плане сервера ничего не подскажу, потому что я бы стал искать варианты сокращать форму/поля, группировать их в небольшие модели.

Время жизни сессии устанавливается в т.ч. и в php.ini.
Посмотрите phpinfo().

У вас с интерфейсом что-то не так, если в 1 форме больше 1 сабмита.