disableRemotePlayback仅是提示性布尔属性，非强制策略；Chrome/Edge支持良好，Safari自iOS 15.4起部分支持，Firefox不支持，且无法阻止系统录屏或物理盗录。
disableRemotePlayback 是目前唯一原生可用的防投屏手段，但它只起提示作用，不能真正阻止——别把它当开关用，更别指望它拦住录屏或镜像。
为什么 disableRemotePlayback 常常“没反应”
这个属性不是指令，而是浏览器可选遵守的建议。实际是否隐藏投屏入口，完全取决于内核实现和系统支持：
- Chrome / Edge（Chromium 内核）：有效，右键菜单和地址栏 Cast 图标会置灰或消失
- Safari（iOS 15.4+ / macOS 12.3+）：仅对 AirPlay 有部分提示效果，且需配合
playsinline才可能生效 - Firefox：完全不识别，设了也白设
- 微信/QQ 内置 WebView（X5/XWeb）：多数版本忽略该属性，行为不可控
- Android 原生浏览器或厂商定制内核：基本无响应，有的甚至解析失败导致 video 标签渲染异常
常见错误写法：disableRemotePlayback="true" 或 disableRemotePlayback="disabled" —— 这会让属性被当成字符串值而非布尔属性，直接失效。
移动端真正能落地的防投屏组合动作
单靠 HTML 属性没用，必须叠加前端监听 + 服务端约束 + 用户体验兜底：
- 前端监听
webkitbeginfullscreen和enterpictureinpicture事件，触发时立即pause()并弹出提示（注意：iOS Safari 不触发webkitbeginfullscreen，需改用fullscreenchange+document.fullscreenElement判断） - 服务端对视频分片（HLS/DASH）做动态 Token 鉴权，URL 带时效性签名，过期即 403；同时校验
Referer和User-Agent，拦截非白名单来源请求 - 关键播放阶段禁用右键：
oncontextmenu="return false"，并用pointer-events: none覆盖疑似投屏按钮区域（如右上角） - 对高敏感内容，强制启用 DRM（如 Widevine），并在 license server 策略中设置
outputProtection要求 HDCP，让不合规设备无法解密播放
别踩这些“伪防投屏”坑
很多方案看似合理，实则无效甚至引发新问题：
立即学习“前端免费学习笔记（深入）”；
- 用
object-fit: cover或transform: scale()遮挡投屏 UI —— 投屏的是原始 video 元素，不是你覆盖的 div - 在
ended事件里remove()video 标签 —— 投屏已在播放中建立连接，删除 DOM 不影响已推流 - 试图通过
MediaRecorder检测屏幕录制 —— 浏览器不提供该能力，且 iOS/Android 均禁止网页访问系统录屏状态 - 把视频转成 canvas 帧动画再播放 —— 性能崩、耗电高、DRM 失效、字幕/音轨丢失，且仍可被录屏工具捕获
最常被忽略的一点：物理盗录（手机拍电视画面）和系统级录屏（QuickTime、Xbox Game Bar）完全不受任何前端控制影响，disableRemotePlayback 对它们零作用。真要降低风险，得从内容分级、播放时长限制、水印叠加和服务端日志审计入手。
