为什么在调用虚拟API时允许使用CORS？

Question

当我创建一个WebAPI项目，然后创建一个MVC项目时。在MVC项目中，我运行具有页面的服务器https://localhost:44303/。在此页面中，我创建了一个用于ajax调用的按钮。我调用了我的WebAPI项目https://localhost:44369/（不同的来源），当然我得到了CORS政策。我无法获取任何数据。但是，当我将ajax调用更改为伪造的API（例如在互联网https://jsonplaceholder.typicode.com/todos/1上）时，我可以获得数据。我认为伪造的API和MVC项目的来源不同，因此CORS应该阻止ajax调用。为什么我仍然可以从该假API获取数据？

Answer 1

他们只是接受来自所有IP的请求