Я думаю, что лучшее решение - хранить изображения и другие личные данные в личной папке, недоступной для общего доступа.Затем вы можете реализовать контроллер, который получает запрос, читает и отображает изображение или другие данные.В контроллере вы можете реализовать контроль доступа, используя стандартное поведение «доступ» yii.