Кто должен настраивать CORS nginx или php-framework?
Никто никому ничего не должен.
https://michielkalkman.com/snippets/nginx-cors-ope...
вам конфиг для nginx
С точки зрения производительности эффективнее это настроить на стороне nginx, с точки зрения производительности труда - как мидлвэр к вашему приложению (то есть на уровне фреймворка, либо на уровне PSR-7)