我一直在构建一个由移动应用和基于AngularJS的网站使用的API。在大多数情况下它工作正常，但有时我们遇到网站的麻烦。更具体地说，跨源资源共享（CORS）。
API是用Yii2构建的，我启用了CORS行为，但我的问题更通用。当API允许CORS时，它是否应该在每个请求上响应CORS头，或者客户端是否希望发送一个标头，提示服务器使用CORS头响应？从我可以收集的内容来看，服务器应该在OPTIONS请求上发送CORS头。但是，我无法在此找到任何明确的内容。
此外，我是否可以使用任何良好的在线调试工具来测试API，将AngularJS网站排除在外以帮助隔离任何问题？
注意：目前CORS已针对任何连接域和请求方法进行配置。