disableRemotePlayback 仅为浏览器提示而非强制指令，实际效果取决于平台支持：Chrome/Edge支持良好，Safari需配合playsinline，Firefox完全忽略，WebView/小程序行为不一；正确写法是disableRemotePlayback无值，并配合controlslist="noremoteplayback nofullscreen nodownload"使用。
disableRemotePlayback 属性是目前 HTML5 原生唯一能“提示”浏览器禁用投屏的机制，但它不是保险锁——设了不等于拦得住，尤其对系统级录屏、物理拍摄、抓包下载完全无效。
为什么 disableRemotePlayback 经常失效？
这个属性本质是向浏览器发一个“建议”，而非强制指令。实际行为取决于底层平台支持和浏览器实现：
- Chrome / Edge（Chromium 内核）：支持良好，右键菜单和地址栏投屏图标会置灰或隐藏
- Safari（iOS 15.4+ / macOS 12.3+）：仅对 AirPlay 有部分提示作用，且需配合
playsinline才稳定 - Firefox：完全忽略该属性，
disableRemotePlayback="true"或disableRemotePlayback都无效 - Android WebView / 小程序：行为不一致，部分版本直接跳过解析
⚠️ 常见错误写法：disableRemotePlayback="true"、disableRemotePlayback="disabled" —— 这些会被浏览器当作字符串值处理，等同于未声明。
必须搭配 controlslist 才算真正动手防投屏
controlslist 是更实际的前端防线，它能直接移除用户触发投屏的入口点：
立即学习“前端免费学习笔记（深入）”；
-
nofullscreen：禁用全屏按钮，避免用户通过全屏→AirPlay 路径绕过 -
noremoteplayback：与disableRemotePlayback协同使用（注意：两者参数名不同，noremoteplayback是controlslist的关键字，不是拼写错误） -
nodownload：防止用户点下载按钮拿到原始 MP4/HLS URL
正确写法示例：
<video controls controlslist="nodownload nofullscreen noremoteplayback" disableRemotePlayback> <source src="lesson.m3u8" type="application/x-mpegURL"> </video>
注意：controlslist 必须和 controls 同时存在才生效；单独用会退化为无控件模式。
真正防住投屏，得靠服务端 + 前端组合策略
前端所有属性都只是“软限制”，要降低风险，必须在播放链路上多点设防：
- 服务端 HLS/DASH 分片加动态 Token：每个 TS/MP4 请求带时效性签名，过期即 403
- 校验
Referer和User-Agent：拦截非白名单域名或异常 UA 的请求 - 前端监听
webkitbeginfullscreen或enterpictureinpicture事件，触发暂停 + 提示 - 敏感课程视频启用 DRM（如 Widevine），并在 license server 中配置
outputProtection要求 HDCP 输出
特别注意：DRM 本身不依赖 disableRemotePlayback，但若 license 策略允许非加密输出，投屏仍可能成功——属性只是表层提示，DRM 才是硬约束。
最易被忽略的一点：所有前端属性对系统录屏（如 macOS QuickTime、Windows Xbox Game Bar）、手机拍摄投屏画面、网络抓包提取分片 URL 完全无效。防投屏不是单点问题，而是从 URL 分发、播放器行为、设备输出策略到内容加密的整条链路控制。
