disableRemotePlayback仅是礼貌性请求，无法真正防投屏：Chrome/Edge仅隐藏图标但系统投屏仍可用，Safari支持弱且不稳定，Firefox完全不识别，对录屏、抓包、开发者工具等毫无约束力。
disableRemotePlayback 是唯一原生可用的防投屏提示属性，但它不强制、不加密、不拦截，仅起“礼貌性请求”作用。
为什么 disableRemotePlayback 不能真正防投屏
该属性只是向浏览器发出“请勿启用 AirPlay/Chromecast”的信号，不是安全策略：
- Chrome/Edge 中它会隐藏地址栏投屏图标、禁用右键菜单里的投屏项，但用户仍可手动打开系统级投屏面板并选择当前标签页
- Safari 自 iOS 15.4 起支持该属性，但仅对 AirPlay 有弱提示效果；macOS 上行为不稳定，部分版本完全忽略
- Firefox 完全不识别该属性，设为
true或写成disableRemotePlayback="true"都无效 - 它对系统录屏（QuickTime、Xbox Game Bar）、手机拍摄、抓包下载视频分片、甚至开发者工具 Network 面板查看 m3u8/ts 地址毫无约束力
disableRemotePlayback 的正确写法和常见错误
必须作为布尔属性直接声明，不能带值：
<video controls disableRemotePlayback> <source src="video.mp4" type="video/mp4"> </video>
以下全是错误写法，会导致属性被浏览器完全忽略：
DeepBI DHTML 页面生成器
下载
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
disableRemotePlayback="true"disableRemotePlayback="disabled"-
disableRemotePlayback=""（空字符串在部分 WebView 中也不生效） - 用 JS 动态设置：
video.setAttribute('disableRemotePlayback', 'true')—— 多数浏览器不响应运行时变更
真正降低投屏风险的组合手段
单靠 HTML 属性无法达成业务目标，需前后端协同：
立即学习“前端免费学习笔记（深入）”；
- 服务端对每个播放请求校验 JWT Token，绑定设备指纹（UA + IP + 设备 ID），且 Token 单次有效或 5 分钟过期
- 前端监听
webkitbeginfullscreen和enterpictureinpicture事件，触发时立即pause()并弹窗警告 - 敏感内容必须走 DRM：Widevine（Android/Chrome）、FairPlay（iOS/Safari），并在 license server 配置
outputProtection强制 HDCP 输出 - HLS/DASH 播放器开启动态密钥，每段 ts/m4s 加载前校验 Referer + 时间戳签名，防止 URL 被复用
容易被忽略的关键点
很多团队花时间调 disableRemotePlayback 却没意识到：它连“阻止用户点一下 AirPlay 图标”都做不到，更别说防御录屏或物理盗录。真正的防线在服务端鉴权和 DRM 输出控制，而不在 video 标签上加一个布尔属性。移动端尤其要注意：微信内置浏览器、QQ 浏览器 X5 内核对这个属性的支持率极低，且无 fallback 行为可依赖。
