Yii2: ограничить показ(отдачу) файлов в зависимости от роли юзера?
Никак не запретить, нужно убрать файли из директории веб-сервера (чтобы прямых ссылок на них не было) и создать специальный обработчик, который будет читать файл из внешней директории и отдавать его содержимое в браузер исходя из прав пользователя.
Никак не запретить
Неправда. Есть эффективный вариант  - nginx и x-accel-redirect. См. тут: https://www.opennet.ru/base/net/nginx_x_accel_redi...
Это намного эффективней чем отдавать через php.