为什么调用虚拟 API 时允许使用 CORS？

Question

当我创建了一个 WebAPI 项目，然后是一个 MVC 项目。在 MVC 项目中，我运行一个服务器 https://localhost:44303/，它有一个页面。在此页面中，我为 ajax 调用创建了一个按钮。我打电话给我的 WebAPI 项目https://localhost:44369/（不同的来源），当然我得到了 CORS 政策。我无法获得任何数据。但是，当我将 ajax 调用更改为互联网上的假 API https://jsonplaceholder.typicode.com/todos/1 时，我可以获取数据。我认为fake API和MVC项目的来源不同，所以CORS应该防止ajax调用。为什么我仍然可以从那个伪造的 API 中获取数据？

Answer 1

他们只是接受来自所有 ip 的请求