Тестируйте любой API прямо из браузера: выберите метод, добавьте заголовки и тело, отправьте — и читайте статус, заголовки и ответ. Запросы проксируются через сервер, поэтому ограничения CORS не действуют.
CORS ограничивает только браузеры. Запрос уходит с сервера, где таких ограничений нет, а ответ возвращается вам.
Да — добавьте заголовок Authorization со своим токеном, как в curl.
GET, POST, PUT, PATCH, DELETE — весь повседневный REST-набор.