В методе access() класса User.php собирается класс Access.php реализующий программную проверку прав доступа пользователя к моделям. Как уже сказано в разделе группы и пользователи таких типов доступов всего 2:
Модели можно проверять на чтение и запись передавая в метод проверки аргумент $row - объект строки модели. На чтение(доступность) модели можно проверять по аргументам её request запроса или по её id
