Как победить противный CORS в Yii?
Насколько я понимаю, OPTIONS запросы Yii , вообще, должен разруливать самостоятельно.
если вы сами это не настроите, оно не будет ничего разруливать.
Нужно чтобы любой опшнс запрос уходил на роут одного и того же контроллера который 1) не требует авторизации 2) возвращает все нужные заголовки. Настроить это универсально с помощью роутинга yii2 мне так и не удалось, пришлось хардкодить разные уровни роутов и переадресовывать их на единый метод.
Я вижу конфиг, в нем все необходимые данные. На его основе можно написать несколько строк кода, которые будут генерировать нужные заголовки.
Так-же если в ответе не приходит заголовок Access-Control-Allow-Origin: http://localhost:8080, то попробуй его добавить в список заголовков в конфиге. Лично мне его  хватало с головой.