HTML无法禁止镜像投屏，disableRemotePlayback仅隐藏投屏按钮，对系统级镜像无效；镜像由OS/驱动层实现，前端无法阻止；防镜像需服务端签名URL、动态水印、后台暂停等组合策略。
HTML 本身无法限制镜像投屏（如 AirPlay、Miracast、华为多屏协同、iOS 屏幕镜像），所有“在网页里加个属性就禁掉镜像”的想法都不成立。
disableRemotePlayback 只影响投屏入口，不拦镜像
该属性仅向浏览器提示“不要显示 Chromecast/AirPlay 按钮”，实际作用非常有限：
- 它对系统级镜像（如 iOS 控制中心的“屏幕镜像”、Windows 的“无线显示”、华为手机的“多屏协同”）完全无效
- Chrome/Edge 中设
disableRemotePlayback后，地址栏 Cast 图标会变灰，但用户仍可手动打开整个标签页投屏 - Safari 自 iOS 15.4 起支持该属性对 AirPlay 的提示，但仅限于点击视频右下角 AirPlay 图标时禁用——镜像功能本身不受控
- Firefox 完全忽略该属性，
disableRemotePlayback="true"或带引号写法均无效，必须是无值布尔属性：<video disableRemotePlayback>
镜像投屏根本不在 HTML 控制范围内
镜像投屏是操作系统或设备驱动层的行为，浏览器无权干涉：
- iOS 屏幕镜像走的是 AirPlay 协议栈，由
RTCAVSampleBufferSink和AVCaptureScreenInput实现，和<video>标签无关 - Android Miracast / Windows 无线显示捕获的是整个屏幕帧缓冲（framebuffer），无论你播的是 HTML5 视频、Canvas 动画还是纯 CSS 动画，都会被一并推过去
- 华为智慧屏的“镜像投屏”依赖 HarmonyOS 的分布式软总线，前端 JS 无法检测或阻止其建立连接
- 开发者工具里禁用
MediaSource、隐藏<video>元素、甚至移除 DOM，只要画面还在屏幕上渲染，镜像就照常工作
真正能降低镜像风险的只有服务端+环境策略
若业务强依赖防镜像（如金融培训、内部合规视频），需放弃“前端拦截”幻想，转向可落地的组合手段：
立即学习“前端免费学习笔记（深入）”；
- 服务端动态生成带签名的播放地址，URL 有效期 ≤ 60 秒，并绑定用户 ID + 设备指纹，防止链接外泄后被镜像端复用
- 前端 Canvas 叠加动态水印：每帧绘制含用户 ID、时间戳、IP 哈希的半透明文字，位置随机偏移，覆盖关键区域（镜像画面里水印仍在）
- 监听
document.hidden和pagehide事件，一旦页面切后台（常见于镜像开启时），立即暂停播放并清空src或切换为 placeholder - 检查
navigator.permissions.query({name: 'display-capture'})（部分 Chromium 浏览器支持），返回denied可作为镜像尝试的辅助信号（非可靠，仅作参考） - 关键内容启用 DRM（如 Widevine L1），配合 license server 设置
outputProtection策略，要求 HDCP 连接——但注意：镜像本身不经过 DRM 输出链路，此策略对镜像无效，仅防 HDMI 直连盗录
最易被忽略的一点：镜像投屏无法被前端感知是否“正在发生”，你看到的“黑屏”“卡顿”“暂停”，往往是镜像已开始、系统资源被抢占的结果。所有基于“检测到镜像就阻断”的方案，本质上都是事后响应，而非事前禁止。
