app - это фактически псевдоним для директории "приложения" (например, классы папки controlles, в которой лежат пользовательские контроллеры, находится именно в этом пространстве имён), то есть тут сначала "разрешается" псевдоним, а потом уже используется автозагрузка.
Назначение псевдонима происходит в методе класса \vendor\yiisoft\yii2\base\Application.php:
