disableRemotePlayback仅是提示浏览器隐藏投屏入口的布尔属性，非强制策略；必须写为，Chrome/Edge支持良好，Safari自iOS 15.4起部分支持AirPlay禁用，Firefox完全不支持，且无法阻止系统级投屏或录屏。
disableRemotePlayback 属性本身不提供防投屏保护，它只是向浏览器发出一个“请勿为此视频显示投屏入口”的提示信号。是否隐藏 Cast 图标、AirPlay 选项，完全取决于浏览器是否响应、响应到哪一步。Chrome/Edge 支持最稳，Safari 自 iOS 15.4 起仅对 AirPlay 有部分响应，Firefox 完全无视。
disableRemotePlayback 怎么写才真正生效
- 必须作为无值布尔属性直接写在
<video></video>标签中：<video controls disableremoteplayback></video> - ❌ 错误写法包括：
disableRemotePlayback="true"、disableRemotePlayback="disabled"、disableRemotePlayback=""——这些都会被浏览器忽略 - 动态设置（如
videoEl.setAttribute('disableRemotePlayback', '')或videoEl.disableRemotePlayback = true）在 Safari 和多数 Android WebView 中无效，建议服务端直出或 DOM 挂载后立即设置 - 若视频使用
preload="none"或动态赋值src，需在loadedmetadata事件后再次确认该属性已存在，否则 Chrome 可能不触发 UI 隐藏逻辑
controlslist="noremoteplayback" 是不是更可靠
- 它和
disableRemotePlayback作用重叠，语义上是“控制条禁用远程播放”，但仍是提示性行为，非强制 - Chrome/Edge 下两者效果基本一致；Safari 对
controlslist的支持更弱（部分版本完全不识别noremoteplayback），反而对disableRemotePlayback响应更明确 - 可以共存：
<video controls controlslist="noremoteplayback" disableremoteplayback></video>，提升 Chromium 系浏览器的一致性，但不会增强 Safari/Firefox 行为 - 注意：
controlslist中多个指令用空格分隔，不能带引号，也不能写成controlslist="noremoteplayback nodownload"后再加等号或值
为什么设了 disableRemotePlayback 还能投屏成功
- 用户点击的是浏览器全局 Cast 按钮（投整个标签页），而非针对
<video></video>元素——这个行为完全绕过该属性 - 视频由第三方播放器 SDK（如腾讯云、阿里云 Web SDK）封装，
disableRemotePlayback被内层<video></video>实例隔离，前端无法触达 - 智能电视或安卓盒子中运行的 WebView 内核老旧，直接忽略该属性（尤其华为 EMUI、小米 PatchWall）
- 页面被
<iframe></iframe>嵌入时，若未设置sandbox="allow-scripts allow-same-origin"，部分浏览器会禁用所有媒体控制能力
关键点在于：这个属性只影响浏览器 UI 层的投屏按钮可见性，既不加密内容，也不干预系统级协议（如 Miracast 发现、AirPlay 握手、DLNA 推送）。真正需要防投屏的场景（如金融培训、内部会议），必须把 disableRemotePlayback 当作第一道轻量提示，后面跟上服务端动态 Token、DRM 输出保护、Canvas 动态水印和播放环境检测——否则，用户截个图、录个屏、抓个 .m3u8，就绕过了所有 HTML 层面的设置。
