Валерий Кулаков

А зачем когда ты сам можешь все контролировать
Тут два основных паттерна
1 когда запросов мало и они простые и ты понимаешь как они работают и никаких косяков со странными данными из вне прийти не должно или ты это уже сам экранироовал , реально намного быстрее напрямую сделать чем вникать в орм
2 когда тебе в каких то частях нужен перформанс или когда орм генерит еретические запросы там где у тебя сложная логика и приходится их переписывать напрямую
Ну и забыл третье вкусовщина

File → Settings → Editor → Color & Fonts → General → Code → Matched brace

Попробуй добавить хедер 'access-control-expose-headers' : '<header-name>' на API.
Про суть твоей проблемы вот тут есть.
Вкратце, по-умолчанию открыты для получения только 6:

• Cache-Control
  
• Content-Language
  
• Content-Type
  
• Expires
  
• Last-Modified
  
• Pragma