localhost и
localhost:19006 - это разные сайты с точки зрения браузера.
Необходимо возвращать CORS-заголовки, в том числе и на запросы OPTIONS.
header('Access-Control-Allow-Origin: ' . $_SERVER['HTTP_ORIGIN']);
header('Access-Control-Allow-Credentials: true');
header('Access-Control-Allow-Headers: Origin, X-Requested-With, Content-Type, Accept');
header('Access-Control-Allow-Methods: GET, POST, OPTIONS');
header('Vary: Origin');
А если используете куки, то надо ещё и устанавливать
withCredentials=true
для AJAX-запросов.