html视频无“自动防投屏”，disableremoteplayback和controlslist="noremoteplayback"仅为浏览器提示而非强制开关；前者需无值写法且仅部分生效，后者仅隐藏按钮；真正防护须依赖服务端token、drm及输出保护策略。
HTML 视频没有“自动防投屏”这回事，disableRemotePlayback 和 controlsList="noremoteplayback" 只是向浏览器发提示，不是开关，更不是锁。
disableRemotePlayback 属性为什么常失效
它只是个布尔属性信号，不强制、不拦截、不加密。Chrome/Edge 会据此隐藏 Cast 按钮或禁用 AirPlay 菜单，但 Safari（iOS 15.4+）只对 AirPlay 做弱提示，Firefox 完全忽略。关键点在于：
-
disableRemotePlayback必须写成无值形式：<video disableremoteplayback></video>；写成disableRemotePlayback="true"或disableRemotePlayback="disabled"会被浏览器当无效属性丢弃 - 它不影响已打开的投屏会话——用户若在播放前就点了 Cast 按钮，该属性完全不生效
- 它对系统级录屏（macOS QuickTime、Windows Game Bar）、手机拍摄、抓包下载等行为零防护力
controlsList="noremoteplayback" 的实际表现
这个属性和 disableRemotePlayback 功能重叠但实现路径不同：它控制原生控件 UI 显示，需配合 controls 使用才可见效果。常见误区：
- 只在 Chromium 系列（Chrome / Edge）中有效；Firefox、Safari 当前不支持
controlsList -
noremoteplayback拼写必须全小写、无空格、无引号包裹；写成noRemotePlayback或"noremoteplayback "（末尾空格）会导致整个属性被忽略 - 它仅隐藏投屏按钮，不阻止用户通过地址栏 Cast 图标、右键菜单或系统快捷键发起投屏
真要降低投屏风险，得绕开前端“假装能控”的幻觉
浏览器根本不允许网页决定“能不能投”，所有前端属性都是装饰性提示。真正可操作的防线在服务端和协议层：
- 视频 URL 必须带短期 Token（如
/video/123.mp4?token=abc&exp=1734690000），且服务端校验 Referer、UA、IP 绑定 - 用 HLS 或 DASH 分片 + 动态密钥，配合 DRM license server 设置
outputProtection策略（如要求 HDCP 1.4+），让电视解码器拒绝非安全输出 - 前端监听
webkitbeginfullscreen或enterpictureinpicture事件，触发暂停 + 提示，但这只是补救，不是预防 - 别信“自动检测投屏状态并拦截”的 JS 库——浏览器没暴露这类底层状态，所有所谓检测都是靠轮询或猜，极易误判漏判
最易被忽略的一点：投屏按钮是否显示，和你能不能被投，是两件事。用户关掉 JavaScript、换用 Firefox、甚至直接用手机拍屏幕，你的 disableRemotePlayback 都不在场。防线得建在流怎么发、密钥怎么管、设备怎么认上，而不是 HTML 标签里加几个属性。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
