Функции API mysqli_query() и mysqli_real_query() во время работы не устанавливают на сервере специальный флаг, необходимый для выполнения мультизапросов. Отдельная API-функция для мультизапросов позволяет снизить вероятность случайных SQL-инъекций. Злоумышленник может попытаться добавить в конец запроса выражения, вроде ; DROP DATABASE mysql или ; SELECT SLEEP(999). Если ему это удастся, но не будет использоваться функция mysqli_multi_query, сервер не выполнит второе внедрённое и опасное SQL-выражение.
nl2br(Html::encode($message))
<?= Yii::$app->formatter->asNtext($message) ?>
can(), думаю, Вам тут не поможет потому, что can() проверяет, может ли пользователь выполнять что-то или нет.
Если пользователь "администратор", то у него есть все права "модератора", а если пользователь "модератор", то он может делать то, что позволено "модератору", но не может делать то, что позволено "администратору".