disableRemotePlayback 是浏览器解析 HTML 时读取的提示信号，非开关，仅隐藏 UI 投屏入口；动态 JS 设置无效，需静态声明；真正防投屏须依赖服务端鉴权与网络隔离。
disableRemotePlayback 属性写完就生效，但“生效”不等于“起作用”
这个属性不是开关，是浏览器收到的一个提示信号。它在标签解析阶段就被读取，不需要等待加载、不依赖 JS 初始化，所以只要 HTML 里正确写了，页面一渲染，Chrome/Edge 就会隐藏右键菜单里的投屏项、地址栏 Cast 图标也会置灰——从这个角度看，是“即时”的。
但要注意：它只影响 UI 入口，不影响已建立的投屏会话。比如用户先点 Cast 投了整个标签页，再刷新页面，投屏照样继续；Safari 只在 iOS 15.4+ 才响应这个提示；Firefox 完全无视。
controlslist="noremoteplayback" 是更早支持的兼容写法，但行为一样不可靠
立即学习“前端免费学习笔记（深入）”；
这个属性比 disableRemotePlayback 更早被 Chrome 和 Edge 支持，语义也更直白，写法上必须用空格分隔多个指令，且不能带引号或赋值：
<video controls controlslist="nodownload noremoteplayback"> <source src="video.mp4" type="video/mp4"> </video>
- ✅ 正确：
controlslist="noremoteplayback"（无引号、无等号、无值） - ❌ 错误：
controlslist="noremoteplayback=true"或controlslist=noremoteplayback（缺少引号会被解析失败）
但它和 disableRemotePlayback 一样，只是让浏览器“尽量不展示投屏入口”，不阻止系统级镜像（如 macOS 镜像、Windows 投影）、也不影响第三方录屏工具。
动态设置 disableRemotePlayback 大概率无效
很多开发者想用 JS 控制开关，比如：
videoEl.setAttribute('disableRemotePlayback', '');
// 或
videoEl.disableRemotePlayback = true;这些在 Safari、iOS WebView、部分 Android 系统浏览器中基本不生效。原因很直接：浏览器只在元素初始化时检查该属性是否存在，后续 DOM 修改不会触发重新协商投屏能力。
所以：
- 必须在 HTML 模板里静态声明，或服务端渲染时注入
- 如果用 React/Vue，确保该属性是作为原生布尔属性透传，而不是当作字符串 prop 绑定
- 不要用
innerHTML插入带该属性的 video 标签——解析时可能被忽略
真正能阻断投屏链路的，是服务端鉴权 + 网络隔离
前端所有属性都只是“礼貌提示”。要让电视端根本播不了，得切断它获取视频资源的能力：
- 视频
src改为带短期 token 的接口，如/api/play?token=xxx&ts=1734720600，后端校验 session、IP、UA、过期时间 - HLS 的
.m3u8文件路径必须是登录态接口，不能是静态 CDN 地址；否则电视浏览器直接访问就能播 - 后端响应头加
Access-Control-Allow-Origin: null，配合前端crossorigin="anonymous"，让跨域脚本无法读取视频元信息 - 路由器开启 AP 隔离，让手机和电视无法互相发现——这是最硬的防线，比任何前端代码都管用
别指望单靠一个 HTML 属性就防住投屏。它只是整条防护链里最表层的一环，漏掉服务端或网络层，前端再怎么写都是摆设。
