启用CORS后，访问限制不起作用

Question

同一解决方案中有两个MVC项目-一个Web应用程序和一个Web API。 这些URL分别为https://localhost:44323/和http://localhost:59171/。
我正在测试CORS功能。

WebApiConfig.cs

public static void Register(HttpConfiguration config)
        {
            EnableCorsAttribute cors = new EnableCorsAttribute("https://myapp.stg.org:8700, https://myapp.prd.org:9700", "*", "*");
            config.EnableCors(cors);

            config.MapHttpAttributeRoutes();

            config.Routes.MapHttpRoute(
                name: "DefaultApi",
                routeTemplate: "api/{controller}/{action}/{id}",
                defaults: new { id = RouteParameter.Optional }
            );
        }

那是我唯一的改变。
当我从本地系统浏览网站时，由于没有在允许的来源中指定本地URL，我期望它会引发错误或无法打开网站。但是该站点仍然可以正常加载并从API获取数据。

还有其他配置需要吗？