HTML视频无法真正防手机投屏，disableRemotePlayback仅隐藏浏览器UI按钮，对系统级AirPlay/Miracast无效；iOS/Android原生支持弱，微信等内置浏览器直接忽略；真正有效的是DRM加密、动态Token和播放状态监听组合策略。
HTML 视频无法真正“防投屏”，disableRemotePlayback 只是向浏览器发一个提示信号，对手机 AirPlay / Miracast / DLNA 等系统级投屏行为基本无效。
为什么 disableRemotePlayback 在手机上大概率失效
该属性在移动端支持极弱：iOS Safari 自 15.4 起仅对 AirPlay 按钮做视觉隐藏（不阻止长按 AirPlay 菜单、不阻止控制中心投屏），Android Chrome 完全忽略它，微信/QQ 内置浏览器和大部分 Android WebView 更是直接不识别。用户只要从系统控制中心或通知栏点投屏，视频照样被整页镜像过去——disableRemotePlayback 对这种路径毫无约束力。
- 它不是 DOM 属性，不能用
video.setAttribute('disableRemotePlayback', 'true')动态添加；必须写在 HTML 标签里作为布尔属性原生存在 - 设成
disableRemotePlayback="true"或disableRemotePlayback="disabled"会直接被浏览器忽略 - 即使生效，也只影响浏览器 UI 中的投屏按钮，不影响系统级投屏入口（如 iOS 控制中心、安卓快速设置面板）
真正能影响手机投屏的两个前端可干预点
你没法拦住系统投屏，但可以干扰它的可用性：
- 监听
webkitbeginfullscreen（iOS）和enterpictureinpicture（Android/iOS）事件，在触发时立即video.pause()并弹出遮罩层或提示语，让投屏画面变成黑屏或警告页 - 检测
screen.orientation变化或window.matchMedia('(display-mode: standalone)')，判断是否进入全屏/画中画状态，配合播放器状态同步锁定（注意：部分安卓 WebView 不触发这些事件） - 避免使用
playsinline+webkit-playsinline，否则 iOS 上视频可能默认内联播放，反而更容易被系统识别为可投屏媒体源
服务端才是防投屏的关键防线
前端所有操作都只是“拖延战术”。手机投屏本质是把当前屏幕内容推过去，只要视频在页面上渲染出来，就逃不过录屏/镜像。真正降低风险得靠后端：
立即学习“前端免费学习笔记（深入）”；
- 对敏感视频启用 DRM（如 FairPlay on iOS），配合 license server 设置
outputProtection策略，要求 HDCP 加密输出——这能在硬件层阻止非授权投屏设备解码 - 播放 URL 必须带动态 Token（含时间戳、设备指纹、IP 绑定），且有效期严格控制在 5 分钟内；Token 过期后投屏端请求会 403，断流黑屏
- 禁用 CORS 的
Access-Control-Allow-Origin: *，只允许你自己的域名；否则第三方页面也能嵌入你的video标签并发起投屏
别在 disableRemotePlayback 上投入过多精力——它解决不了手机投屏问题。重点该放在 DRM 配置、Token 时效控制和播放状态监听的组合策略上，尤其是后者，虽然不能阻止投屏动作，但能让投出去的画面立刻失效，这才是实际场景中最可控的一环。
