rack-cors允许来自每个localhost应用程序的请求

Question

我在本地测试我的Rails应用程序，所以我在application.rb

中配置了这样的CORS

config.middleware.use Rack::Cors do
  allow do
     origins 'localhost:4000'
     resource '*',
       headers: :any,
       methods: [:get, :post, :put, :delete, :options]
     end
end

无意中我把这个文件推到了制作上，我意识到我仍然可以执行来自我的locahost：4000 app的ajax请求，如果我改为执行来自localhost的请求：4001 app比CORS阻止我，怎么可能是？它应该使用localhost：4000阻止我，因为在我的本地网络之外我会有另一个IP地址。