disableRemotePlayback 仅是向播放引擎发送提示信号，无法阻止插件篡改video元素；插件可通过注入脚本、劫持事件或重写原型链绕过该属性，前端防护只能提高篡改成本，无法根治，高价值内容应依赖DRM、动态水印及服务端鉴权。
disableRemotePlayback 属性本身防不住插件干扰
浏览器原生的 disableRemotePlayback 只是向播放引擎发一个提示信号，不涉及权限控制或运行时拦截。第三方插件（比如录屏类、投屏增强类、广告拦截类）在页面加载后可直接注入脚本、重写 video 元素行为，甚至劫持 webkitbeginfullscreen 或 enterpictureinpicture 事件——这些动作完全绕过该属性的约束。
常见现象包括：插件自动移除 disableRemotePlayback 属性、强制调用 castSession.start()、或监听 MediaStream 输出并转发到本地录制器。
- Chrome 扩展若声明了
"permissions": ["activeTab", "scripting"]，可在用户点击后动态注入任意 JS，覆盖你所有前端防护逻辑 - Safari 插件（尤其是启用“网站扩展”权限的）能直接修改 DOM，且无需用户二次确认
- 部分企业级终端管理软件（如 Jamf、Intune 配置的浏览器策略）会全局禁用
disableRemotePlayback行为以保障内部投屏协作
怎么限制插件对 video 元素的篡改
无法彻底禁止插件读写 DOM，但可提高其篡改成本和失败率：
- 避免在 HTML 源码中硬写
disableRemotePlayback，改用 JS 动态添加：video.setAttribute('disableRemotePlayback', '')，并在DOMContentLoaded后延迟 100ms 执行，避开多数插件的早期注入时机 - 用
MutationObserver监听video元素属性变化，一旦检测到disableRemotePlayback被移除或设为 false，立即恢复并触发警告上报：fetch('/api/anti-tamper-report', { method: 'POST', body: JSON.stringify({ event: 'attr-removed' }) }) - 对关键 video 实例使用
Object.freeze(video)（仅限非 Shadow DOM 场景），阻止插件覆盖setAttribute方法（注意：不能 freeze 原型链，仅冻结实例自身） - 在
iframe中加载播放器（sandbox="allow-scripts allow-same-origin"），与主站隔离，插件默认无法跨 sandbox 访问 iframe 内 DOM
为什么 CSP 不能阻止插件注入脚本
Content-Security-Policy 头只约束浏览器自身加载资源的行为，对已获用户授权安装的扩展插件完全无效。插件运行在更高权限上下文（extension:// 协议），不受页面 CSP 策略管辖。
立即学习“前端免费学习笔记（深入）”；
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
这意味着即使你设置了 script-src 'self'; object-src 'none'，插件仍能：
- 通过
chrome.scripting.executeScript注入任意代码 - 读取
video.src或video.currentSrc并发起新请求 - 替换
HTMLMediaElement.prototype.play，插入自定义投屏逻辑
唯一可行的缓解方式是配合服务端行为分析：当同一用户短时间内触发多次 enterpictureinpicture 事件却无真实投屏设备响应（可通过 navigator.mediaDevices.getSupportedConstraints().screenVideo 判断），则标记该会话为高风险，降级播放质量或暂停输出。
真正需要关注的边界点：系统级录屏和物理拍摄
插件只是中间层，更难防的是 macOS QuickTime 录屏、Windows Game Bar、iOS 屏幕录制，以及用另一台手机拍屏幕。这些行为完全脱离浏览器控制范围，disableRemotePlayback 和任何前端 JS 都无法感知或干预。
业务上必须接受这个事实：前端能做的只有「降低自动化盗取效率」，而非「杜绝内容流出」。如果你的内容价值极高，优先投入 DRM（Widevine/FairPlay）、动态水印、服务端播放鉴权和播放行为审计，而不是把精力耗在对抗插件上——后者本质上是一场永远落后的军备竞赛。
