disableRemotePlayback仅是提示性属性，无法真正阻止投屏；其效果依赖浏览器实现，Chrome/Edge支持较好，Safari弱支持，Firefox完全不识别，Android WebView和小程序行为混乱。
disableRemotePlayback 是唯一原生可用的防投屏属性，但它只起提示作用，不能真正阻止投屏行为。
为什么 disableRemotePlayback 经常失效
这个布尔属性不是策略开关，而是向浏览器“建议”不要启用投屏功能。它的实际效果完全取决于浏览器实现和底层平台支持：
- Chrome / Edge：支持良好，设为
disableRemotePlayback后地址栏 Cast 图标会变灰，右键菜单中投屏项消失 - Safari（iOS 15.4+ / macOS 12.3+）：仅对 AirPlay 有弱提示，部分机型仍可手动唤起
- Firefox：完全不识别该属性，写上也无任何反应
- Android WebView / 小程序：行为混乱，某些版本直接忽略，某些版本触发异常全屏
- 错误写法如
disableRemotePlayback="true"或disableRemotePlayback="disabled"会导致属性被浏览器当作文本字符串忽略
controlslist="noremoteplayback" 和 disableRemotePlayback 的区别
二者目标一致，但机制不同，且不能混用：
-
disableRemotePlayback是 HTML5 标准属性，必须作为布尔属性直接写在<video></video>标签里：<video disableremoteplayback></video> -
controlslist="noremoteplayback"是非标准扩展属性，仅被 Chromium 系列浏览器识别，属于控制栏 UI 层面的隐藏，并不干预底层投屏能力 - 同时写两个不会叠加效果，Chromium 优先响应
disableRemotePlayback；Safari 忽略controlslist，只看前者（且支持有限） - 若需兼顾 UI 简洁性，可组合使用：
<video controlslist="nodownload noremoteplayback" disableremoteplayback></video>
真正影响投屏的其实是网络与协议层
用户能否投屏，根本不在前端标签控制范围内。常见误判点：
DeepBI DHTML 页面生成器
下载
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
立即学习“前端免费学习笔记（深入）”；
- 网页里点 Chrome 右上角 Cast 按钮 → 投的是整个标签页或桌面，不是单个
<video></video>，disableRemotePlayback对此无效 - 调用 Google Cast SDK → 要求页面 HTTPS、用户装了 Cast 扩展、电视连着 Chromecast 设备，且播放地址必须是公网可访问 URL，
localhost或内网地址一律失败 - 所谓“优酷投屏关闭HTML5”是伪命题 → 优酷 App 投屏走私有协议栈，和网页
<video></video>完全无关；网页版自 2025 年起已移除所有投屏入口 - DLNA/AirPlay 镜像 → 系统级行为，绕过浏览器，
disableRemotePlayback不起任何作用
如果业务真要降低投屏风险，得换思路
前端标签能做的极其有限，重点应放在服务端和播放环境管控：
- 视频资源不直出 S3/CDN 地址，改用带时效和绑定的代理接口，例如：
https://api.example.com/stream?vid=abc&token=xyz&ts=1717020000 - 对 HLS/DASH 流启用 AES-128 分片加密，密钥由后端动态下发，避免 m3u8 文件暴露明文 ts URL
- 监听
webkitbeginfullscreen或enterpictureinpicture事件，在检测到全屏/画中画时主动暂停并弹窗警告 - 金融或高敏场景必须上 DRM（Widevine/FairPlay），配合 license server 设置
outputProtection策略，限制非 HDCP 输出设备解密 - 别信“禁用右键”“隐藏开发者工具”——这些全是障眼法，对真实盗录毫无防护力
最易被忽略的一点：即使所有前端属性都设对了，只要视频流本身没加密、没鉴权、没绑定设备指纹，用户抓包拿到 URL 后，用 VLC 或 ffmpeg 直接下载，disableRemotePlayback 就只是个摆设。
