flag_secure是唯一可靠的防投屏方案，需在setcontentview()前为activity窗口设置，可使投屏画面变黑，同时禁用截屏与非安全显示，但仅对当前activity生效，且部分定制rom支持不完整。
手机APP内HTML视频无法靠disableRemotePlayback真正防投屏，它只是个提示属性，不生效就等于没设；真要阻止投屏显示，得用原生层的FLAG_SECURE——这是系统级开关，能直接让投屏画面变黑。
Android WebView里必须加FLAG_SECURE才有效
WebView加载含<video></video>的HTML页面时，disableRemotePlayback在Chrome内核下可能隐藏投屏按钮，但用户仍可系统镜像投屏，画面照常显示。唯一可靠方式是给Activity窗口加安全标记：
-
getWindow().addFlags(WindowManager.LayoutParams.FLAG_SECURE)必须在setContentView()前调用，否则无效 - 该flag同时禁用截图和非安全显示（如Miracast/AirPlay镜像），投屏时对应区域显示为黑色
- 仅对当前Activity生效，若页面跳转到新Activity或使用Fragment切换，需在每个目标页面重复设置
- 注意：部分定制ROM（如华为EMUI旧版）对
FLAG_SECURE支持不完整，建议真机验证
iOS WKWebView不能靠HTML属性防投屏
WKWebView本身不暴露投屏控制API，disableRemotePlayback在iOS 15.4+仅影响AirPlay菜单可见性，且Safari行为不一致；更关键的是，系统级屏幕镜像（如隔空播放、QuickTime录屏）完全绕过WebView控制。
- 无法通过JS监听或拦截AirPlay连接事件，
webkitbeginfullscreen等事件只在全屏触发，不覆盖镜像场景 - 尝试注入CSS隐藏右键菜单或禁用
controlsList，对系统镜像零影响 - 若业务强要求，只能退到原生VideoViewController播放，并在viewWillAppear中动态设
view.window?.isSecure = true - 此方案意味着放弃WebView内嵌HTML视频，改用原生控件加载同一URL，需服务端配合支持CORS与token鉴权
HTML标签属性哪些有用、哪些纯属误导
很多团队把disableRemotePlayback和disablePictureInPicture当“防投屏开关”，实际它们只是UI遮罩，连基础防护都谈不上。
-
disableRemotePlayback必须写成布尔属性形式：<video disableremoteplayback></video>，写成disableRemotePlayback="true"会被浏览器忽略 -
controlsList="noremoteplayback"在Chrome/Edge有效，在Safari和Firefox中无作用，且不阻止系统镜像 -
crossorigin="anonymous"不是防投屏手段，而是为Canvas水印做准备，和投屏无关 - 所有这些HTML属性都无法阻止用户用手机拍摄投屏画面，也无法防止抓包获取
src地址后本地下载
真正卡住投屏显示的只有FLAG_SECURE和iOS原生isSecure，其余全是心理安慰。业务方若坚持“网页内解决”，就得接受它本质不可控——因为投屏协议运行在系统层，HTML运行在应用层，中间隔着整个渲染管线和权限沙箱。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
