HTML video标签不支持播放次数限制，因它是无状态组件；disableRemotePlayback仅提示隐藏投屏入口，无法真正阻止投屏，可靠防护须依赖后端鉴权与动态凭证。
HTML 视频标签本身不支持“播放次数限制”，也无法靠前端属性阻止投屏。这两个目标在技术上是分离的：播放次数属于业务逻辑控制，而投屏（Chromecast/AirPlay）是系统级媒体路由行为，浏览器仅提供弱提示能力。
为什么 video 标签不能设播放次数
HTML 的 <video></video> 是无状态渲染组件，不维护播放历史、不记录用户身份、也不触发服务端校验。所谓“播放 3 次后禁播”，必须依赖：
- 前端用
localStorage或sessionStorage记录次数 —— 可被用户清空，完全不可信 - 每次播放前向后端发起鉴权请求，由服务端校验剩余次数并返回临时播放凭证（如带签名的 HLS URL）—— 这才是唯一可靠路径
- 若用 MSE 或
Blob URL加载，需在解密/拼接分片前做次数检查，但前提是密钥和分片都由服务端动态下发
disableRemotePlayback 不等于防投屏
disableRemotePlayback 只是向浏览器发出“请勿显示投屏入口”的提示，不是策略开关：
- 必须写成布尔属性：
<video disableremoteplayback></video>，disableRemotePlayback="true"无效 - Chrome/Edge 下会隐藏地址栏 Cast 图标和右键菜单中的“投射到设备”项
- Safari 自 iOS 15.4 起仅对 AirPlay 按钮做灰显，且刷新页面后可能恢复可点状态
- Firefox 完全忽略该属性；Android WebView 行为碎片化，部分版本直接透传
真正影响投屏可用性的三个硬条件
即使你加了 disableRemotePlayback，只要满足以下任一条件，投屏仍可发生：
DeepBI DHTML 页面生成器
下载
生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur
立即学习“前端免费学习笔记（深入）”；
- 用户手动点击 Chrome 浏览器右上角的 Cast 按钮 —— 此时投的是整个 tab 页面，与
<video></video>属性无关 - 视频资源是公开可访问的 HTTPS URL（如
https://cdn.example.com/video.mp4），用户可复制地址用 VLC、PotPlayer 等本地播放器直连播放 - 服务端未启用 Referer 校验或 Token 鉴权，导致 m3u8/ts 片段能被第三方工具抓取并重组
组合策略才有点实际效果
单靠 HTML 属性无法达成目标，但可以作为多层防护中的一环：
- 前端初始化时声明：
<video disableremoteplayback disablepictureinpicture controlslist="nodownload noremoteplayback"></video> - 监听
webkitbeginfullscreen和enterpictureinpicture事件，在触发时调用video.pause()并弹出提示（注意：Safari 中 exitPictureInPicture 需用户手势） - 关键动作必须后端兜底：每次播放请求携带 JWT，payload 包含
play_count_remaining和exp，过期或归零即拒绝返回流地址 - 避免在前端暴露原始
src，改用fetch()+URL.createObjectURL(new Blob([res.arrayBuffer()]))动态加载，增加抓包门槛
最易被忽略的是：所有前端限制都建立在“用户不主动清缓存、不调试、不重放请求”的前提下。一旦进入开发者工具 Network 面板，任何 token、m3u8 地址、分片 URL 都可能被截获——这才是真实威胁面。
