disableRemotePlayback仅是提示性属性，非强制开关；必须写成无值布尔形式，Chrome/Edge支持但可被绕过，Safari自iOS 15.4起部分支持，Firefox完全不支持，且无法阻止系统录屏或物理盗录。
disableRemotePlayback 属性不是开关，它只是个提示——浏览器收到后“可以忽略”，而且根本拦不住系统级录屏或物理拍摄。
为什么 disableRemotePlayback 常常没反应
- 写成
disableRemotePlayback="true"或disableRemotePlayback="disabled"就失效，必须是无值布尔属性：直接写disableRemotePlayback - Safari 仅从 iOS 15.4 / macOS 12.3 开始支持 AirPlay 禁用提示，旧版本完全无视
- Firefox 完全不实现该属性，设了也等于没设
- Chrome/Edge 虽显示投屏按钮置灰，但用户仍可手动打开地址栏 Cast 图标投整个标签页
controlsList 能隐藏更多 UI 入口，但同样不强制
这个属性可一并禁用下载、画中画和投屏按钮：
<video controls controlsList="nodownload noremoteplayback nopictureinpicture">-
noremoteplayback 是 disableRemotePlayback 的等效写法（部分场景兼容性略好）
- nodownload 只隐藏右下角下载图标，不影响 Network 面板里扒 URL
- 所有这些都依赖浏览器渲染层配合，Android WebView、微信内置浏览器、TCL/海信电视自带浏览器行为差异极大
真正降低投屏风险的实操动作
前端能做的很有限，重点得落在服务端和播放逻辑上：
- 播放前校验请求头：
Referer必须是你自己的域名，User-Agent不含curl/wget字样（注意：可伪造，仅过滤脚本批量抓取） - 视频流走自有 API 代理，URL 带一次性签名参数，如
/video/chunk?id=abc&token=sha256(userId+ts+secret)，5 分钟过期 - 监听
webkitbeginfullscreen和enterpictureinpicture事件，触发时立即video.pause()并弹出提示：“该内容不支持投屏，请在当前设备观看” - 如果业务允许，对高敏感视频启用 DRM（Widevine/FairPlay），并在 license server 配置
outputProtection策略，要求 HDCP 连接才能解密播放
最常被忽略的一点：就算所有前端属性都设对了，只要视频 URL 出现在 Network 面板里，或者分片地址能被拼出来，投屏限制就形同虚设。真正有效的防护永远不在 HTML 标签里。
立即学习“前端免费学习笔记（深入）”；
