Shurik

у вас будет по факту два приложения: одно на бэкэнде, другое на фронте. У каждого из них своя точка входа (yii2 - index.php, react - index.html).
Суть примерно в следующем, при обращении к доменному имени делается запрос к веб серверу, а там уже в зависимости от того, какие там настройки. Можно указать смотреть на точку входа в yii2 или react. Если yii2, то в действиях котроллеров по роутам, соответствующим роутам реакта надо рендерить входную точку ректа:

public function actionIndex()
     {
         Yii::$app->response->format = Response::FORMAT_HTML;
         return $this->renderFile('@app/web/dist/index.html');
     }

т.е. веб сервер обращается к index.php, а тот уже в свою очередь рендерит реакт.

Во втором случае сразу будет загружаться SPA

Как уже писали, не совсем понятно, что вам надо, но почитайте про эту библиотеку yii2-admin.
Там в основном панель для работы с RBAC и меню вроде, но в целом облегчает жизнь.

https://www.yiiframework.com/doc/guide/2.0/ru/stru...

Недавно мучился с CORS на yii. Что только не пробовал, в итоге только помогло добавить следующее в index.php
У меня apache был, если у вас другой веб сервер, то надо погуглить думаю.

// Allow from any origin
if (isset($_SERVER['HTTP_ORIGIN'])) {
    // should do a check here to match $_SERVER['HTTP_ORIGIN'] to a
    // whitelist of safe domains
    header("Access-Control-Allow-Origin: {$_SERVER['HTTP_ORIGIN']}");
    header('Access-Control-Allow-Credentials: true');
    header('Access-Control-Max-Age: 86400');    // cache for 1 day
}
// Access-Control headers are received during OPTIONS requests
if ($_SERVER['REQUEST_METHOD'] == 'OPTIONS') {

    if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_METHOD']))
        header("Access-Control-Allow-Methods: GET, POST, PUT, DELETE, OPTIONS");

    if (isset($_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']))
        header("Access-Control-Allow-Headers: {$_SERVER['HTTP_ACCESS_CONTROL_REQUEST_HEADERS']}");

}