Кто должен настраивать CORS nginx или php-framework?

Никто никому ничего не должен.
https://michielkalkman.com/snippets/nginx-cors-ope...
вам конфиг для nginx

Если вы хотите глобально разрешить всем обращаться к вашему апи то на стороне nginx, если есть логика доступа, то на стороне фреймворка

С точки зрения производительности эффективнее это настроить на стороне nginx, с точки зрения производительности труда - как мидлвэр к вашему приложению (то есть на уровне фреймворка, либо на уровне PSR-7)