不能完全禁用，controlsList="nofullscreen"仅是提示浏览器隐藏全屏按钮，Chrome/Edge/Opera支持较好，Safari不稳定（尤其iOS），Firefox完全忽略；需配合allowfullscreen="false"、JS拦截及服务端鉴权才能提升防护效果。

controlsList="nofullscreen" 能否真正禁用全屏按钮？

不能完全禁用，它只是向浏览器发出“建议隐藏全屏按钮”的提示，实际是否生效取决于浏览器实现。Chrome、Edge、Opera 基本可靠；Safari 对 nofullscreen 支持不稳定（尤其 iOS）；Firefox 完全忽略该值，按钮照常显示。

为什么加了 nofullscreen 还能点进全屏？

常见原因包括：

• 浏览器不支持或部分支持 controlsList（如 Firefox、旧版 Safari）
• 用户通过双击视频区域触发全屏（nofullscreen 仅影响按钮，不限制手势）
• 未同步禁用 allowfullscreen 和 webkitallowfullscreen 属性，导致底层权限仍开放
• 移动端（尤其是 iOS）系统级手势（如横屏旋转、双指张开）绕过按钮控制

怎么提高 nofullscreen 的实际效果？

单靠 controlsList="nofullscreen" 不够，需组合防御：

anything-to-html

将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。

下载

• 显式关闭权限：allowfullscreen="false" webkitallowfullscreen="false"
• 拦截全屏请求：监听 videoElement.requestFullscreen() 并 preventDefault() 或直接 return false
• 监听状态变化：用 fullscreenchange 事件检测是否意外进入全屏，并立即调用 document.exitFullscreen()
• 服务端加固：前端控制本质是“障眼法”，关键视频应使用带签名的临时 URL + Referer/Token 鉴权，防止资源被直接盗链

替代方案：什么时候该放弃 controlsList？

当你需要 100% 确保无法全屏，或需统一禁用下载/画中画/远程播放等多控件时，controlsList 就不再适用。此时应：

立即学习“前端免费学习笔记（深入）”；

• 设 controls="false" 彻底移除原生控件
• 用 <div> + video.play()/video.pause() 等 API 手写最小化控制逻辑
• 全屏功能完全由 JS 控制（例如只在特定条件下调用 requestFullscreen()）

真正难的不是写代码，而是接受：前端永远无法“强制”禁用全屏——它只能增加门槛，而真正的保护必须落在服务端和授权体系上。