disableRemotePlayback 是布尔属性，须直接写为 才生效；仅 Chromium 和新版 Safari 有限支持，Firefox 完全不识别，且无法阻止系统快捷键、抓包直播等绕过行为。
disableRemotePlayback 属性怎么写才起作用
它不是开关，是提示信号；浏览器收到后决定是否隐藏投屏入口。必须用布尔属性形式直接写在 <video></video> 标签里，不带等号、不赋值：disableRemotePlayback。写成 disableRemotePlayback="true" 或 disableRemotePlayback="disabled" 会被忽略。
- 只对 Chrome / Edge（Chromium 内核）稳定生效，右键菜单和地址栏投屏按钮会变灰或消失
- Safari 自 iOS 15.4 / macOS 12.3 起支持 AirPlay 禁用提示，但行为偏保守——有时仅隐藏菜单项，不阻止系统级 AirPlay 弹窗
- Firefox 完全不识别该属性，设了也白设
- Android WebView 和小程序环境表现混乱，部分版本直接无视
为什么加了还是能投屏？常见失效场景
用户仍能投屏，往往不是你写错了，而是触发路径绕过了 HTML 层控制：
- 用了系统快捷键：macOS 的
Cmd+Shift+P、Windows 的Win+K或手机下拉控制中心点播，这些完全不走浏览器 UI，disableRemotePlayback对其无效 - 视频没加
controls属性，导致右键菜单不可见，但地址栏投屏图标依然存在——加上controls才能让浏览器明确启用完整媒体交互逻辑 - 标签动态插入后 JS 补设属性（如
el.setAttribute('disableRemotePlayback', '')），Safari 和部分旧版 Chrome 不响应 - 页面加载时 video 元素未挂载 DOM，或尚未触发用户手势（如点击播放前就设置），部分浏览器会丢弃该提示
服务端代理 + 动态 Token 是防外链投屏的真正防线
disableRemotePlayback 只管“能不能点投屏”，不管“点了之后播不播得出来”。如果视频源是公开 URL（比如 S3 预签名链接直塞 src），用户抓包拿到地址后，自己新建页面照样投屏。所以必须切断直链传播路径：
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
- 前端不暴露真实视频地址，改调用自有 API（如
/api/video/play?videoId=abc）获取临时流地址 - 后端生成带签名、时效（建议 ≤5 分钟）、绑定用户/设备指纹的代理 URL，例如
/proxy/v/vid_123?t=1734708600&s=abcd1234&u=user_x - Nginx 或网关层拦截该路径，校验时间戳、签名和用户标识，全部通过才反向代理到源站（S3/CDN）
- 配合
Referer校验和X-Frame-Options: DENY，防止被 iframe 套嵌或跨域盗用
别指望前端属性拦住录屏和物理盗录
即使所有浏览器都完美支持 disableRemotePlayback，它也只影响远程投屏（Chromecast/AirPlay）这一种输出方式。以下行为完全不受控：
立即学习“前端免费学习笔记（深入）”；
- macOS QuickTime、Windows Xbox Game Bar 等系统级录屏工具
- 手机摄像头拍摄投屏画面（物理盗录，无技术手段可防）
- 抓包提取 HLS/DASH 分片 URL 后本地下载（需搭配服务端动态密钥 + HTTPS + 反调试）
- 开发者工具 Network 面板中复制媒体请求（必须靠 Token 时效和绑定策略让链接秒过期）
真正需要防投屏的业务，disableRemotePlayback 只是第一道轻量提示，后面必须跟服务端鉴权和内容级保护（如 FairPlay/Widevine DRM 输出限制）。否则，这个属性就像给门贴张“请勿入内”纸条——门本身根本没锁。
