Николай Конюхов

Что непонятного - сообщение об ошибке указано - CORS
Как с ней справится - настройки серверов

Почему бы и нет, если DTO определяется действием, которое будет выполнять какой-нибудь сервис. Думаю спейс конкретного модуля будет достаточно предметно описывать его применение, например:

namespace Exchange\Github\DTO\Request\User\Create;
namespace Exchange\Github\DTO\Request\User\Role\Change;

и т.п. и использовать алиасы, если уже название конретной DTO вызывает смущение

use Exchange\Github\DTO\Request\User\Create as UserCreateDTO;

бтв, если я правильно понял, вы опускаете само словосочитание DTO из класса, поэтому возникает ощущение не объекта, а действия, которое он выполняет, однако DataTransferObject по прежнему участвует в названии класса и само за себя говорит - это класс передачи данных (с какой-то конкретной реализацией)

Над прослойкой драйвера к вашей бд вы можете написать обертку и вместо вызова, к примеру, PDO::query вызывать PDOExtend::query с наполнением вида:

class PDOExtend extends PDO
{
    /** @var \Psr\Log\LoggerInterface */
    protected $logger;

    public function __construct(string $dsn, string $username, string $passwd, array $options, \Psr\Log\LoggerInterface $logger)
    {
        parent::__construct($dsn, $username, $passwd, $options);
        $this->logger = $logger;
    }

    public function query(string $preparedQuery): PDOStatement
    {
        $queryStart = microtime(true);
        $result = parent::query($preparedQuery);
        $queryStop = microtime(true);

        $this->logger->debug(sprintf('%s query executed %s', static::class, $preparedQuery), [
            'query_start_time'      => $queryStart,
            'query_finish_time'     => $queryStop,
            'elapsed'               => $queryStop - $queryStart
        ]);
        
        return $result;
    }
}

Прошка?

Если клиент - браузерный фронт - longpoll или websocket
Если выполнение отправки mail/sms - крон, как сказали выше

https://gist.github.com/ircmaxell/1232629
Думаю можно это взять за основу и доработать под требования

В переменной GET нет ключа action

$action = isset($_REQUEST['action']) ? $_REQUEST['action'] : null;

Вы сами можете определить функцию автозагрузки классов (каким образом по имени класса интерпретатор будет находить их объявление в файлах)
php.net/manual/ru/function.spl-autoload-register.php

Передайте объект в callback (например Psr7 UriItnerface)

Дайте для пользователя, от которого запущен процесс mysqld, права на чтение/запись для данной директории
chown + chmod

Более 8 символов

Не уверен, но возможно используя @ перед путем к файлу curl будет вытягивать содержимое через какой-нибудь fopen+fread

The full data to post in a HTTP "POST" operation. To post a file, prepend a filename with @ and use the full path. The filetype can be explicitly specified by following the filename with the type in the format ';type=mimetype'. This parameter can either be passed as a urlencoded string like 'para1=val1&para2=val2&...' or as an array with the field name as key and field data as value. If value is an array, the Content-Type header will be set to multipart/form-data. As of PHP 5.2.0, value must be an array if files are passed to this option with the @ prefix. As of PHP 5.5.0, the @ prefix is deprecated and files can be sent using CURLFile. The @ prefix can be disabled for safe passing of values beginning with @ by setting the CURLOPT_SAFE_UPLOAD option to TRUE.

Например в yii используется вот такой подоход для валидации

"You can't upload pictures from your computer, but if you're able to get your pictures to your mobile device that supports the native Instagram App, then you can upload pictures from your mobile library."

Piyush, Instagram, Partner Engineering

Возможно имеет смысл поснифать запрос на upload image с какого-либо мобильного устройства и попытаться такой запрос подделать