Pavel Zamoroka

Если ваш класс (либо его предки) не реализует __set, то возможно добавить любые новые свойства в рантайме - добавлены они будет как public.

Объявление свойства в описании класса на самом деле не требуется языком, но требуется другими разработчиками. И это не просто хороший тон, а именно "так и должно быть".
И как дополнительная плюшка, если все свойства объекта объявлены в описании класса, объекты этого класса будут использовать более эффективное распределение памяти. При попытке создать новое свойство - будет прозрачно смигрировано в более толстую структуру.

$subject = "яблоко красное и [зеленое] яблоко и еще [одно] красное яблоко и [еще] одно яблоко, зеленое";
$pattern = '/\[(.+?)\]/';
preg_match_all($pattern, substr($subject,3), $matches);
print_r($matches);

Во-первых, вам нужно использовать ленивый квантификатор - добавить знак вопроса после ".+". Таким образом поиск будет производится до первого совпадения, а не до последнего.
Во-вторых, нужно использовать preg_match_all, если вам нужны все совпадения.

www.yiiframework.com/doc-2.0/yii-validators-unique...

Всё, решил. RBAC клёвый!)

В actionIndex у вас скорее есть строчка вроде этой:
$models = News::find()->all();
У вас же должно быть что-то вроде:

$models = News::find()->where(['parent_id' => Yii:$app->user->id])->all();

А вообще изучите yii-db-activerecord и yii-db-activequery

Про разрешение на редактирование: ну проверьте в actionUpdate равенство parent_id и id текущего пользователя. Или сразу смотрите в сторону RBAC.