Ну, насколько я понимаю работу cors, на фронте автоматические делается options-запрос, который читает заголовки ответа сервера и уже на их основании браузер решает позволять ли тебе слать запрос или нет. То откуда эти заголовки внутри сервера придут не так уж и важно: из расширения фреймворка, собственной вьюхи или же из конфига nginx'а не так уж важно.