Касательно YII2 в базовом контроллере нужно указать поведение для CORS:
public function behaviors()
{
return [
'corsFilter' => [
'class' => Cors::className(),
],
'authenticator' => [
'class' => HttpBearerAuth::className(),
'except' => ['options'],
],
];
}