html视频无法彻底禁止投屏，前端仅能提示不显示投屏入口，真正防护需服务端介入：jwt鉴权、cors配置、drm输出保护缺一不可。
做不到彻底禁止。HTML 视频本身没有强制阻断投屏的机制，所有前端手段都只是“提示浏览器别显示投屏入口”，而非拦截协议或加密流。真要防，必须服务端介入。
video.disableRemotePlayback 属性怎么写才不被忽略
它只在 Chrome/Edge 和较新 Safari（iOS 15.4+）中起作用，且必须写成无值布尔形式，否则浏览器直接无视：
- ✅ 正确：
<video controls disableremoteplayback></video> - ❌ 错误：
disableRemotePlayback="true"、disableRemotePlayback=""、videoEl.setAttribute('disableRemotePlayback', '') - 动态设置（如
video.disableRemotePlayback = true）在 Safari 和多数 Android WebView 中无效，初始化时就得声明 - Firefox 完全不识别该属性，写了也白写
controlslist="noremoteplayback" 是不是更可靠
不是。它和 disableRemotePlayback 语义重叠，都是 UI 层提示，不是协议层控制：
- Chrome/Edge 支持较好，但仅影响右键菜单和控制条里的投屏按钮，不影响地址栏 Cast 图标
- Safari 对
controlslist支持极弱，部分版本连noremoteplayback都不识别 - 两者可共存，但不会叠加效果；写成
controlslist="nodownload noremoteplayback"只是增加冗余，不增强防护 - 若视频嵌在
<iframe></iframe>里（如腾讯云/阿里云 SDK），这个属性大概率被封装层吞掉，前端根本没机会生效
为什么监听 webkitPresentationMode 轮询仍拦不住投屏
这个属性确实能检测到部分投屏状态（返回 "remote"），但它有硬伤：
- 仅 Chromium 内核（新版 Edge）和 Safari 支持，Firefox 和大部分安卓 WebView 不返回
"remote" - 轮询间隔设太长（如 1s）会漏检；设太短（如 100ms）又加重主线程负担
- 检测到后调用
video.pause()只能中断当前播放，无法终止已建立的投屏会话——电视端仍在播，只是网页本地停了 - 用户点系统级 AirPlay（macOS 控制中心）或 Miracast（Windows 投影）时，
webkitPresentationMode根本不变，完全不可见
真正降低风险的三件事，前端必须配合后端做
单靠 HTML 或 JS 永远防不住，但以下组合能显著提高盗取门槛：
- 视频 URL 必须带短期有效、绑定 UA/IP 的 JWT Token，例如
/api/play.m3u8?token=xxx，后端校验失败即 403 -
<video></video>加crossorigin="anonymous"，否则 Canvas 水印、帧读取会因 CORS 失败 - 监听
webkitbeginfullscreen和enterpictureinpicture，触发暂停 + 上报日志，至少留痕异常行为 - 关键：服务端必须配置 DRM 输出保护（如 Widevine license policy 中启用
outputProtection），要求 HDCP 1.4+，才能真正阻断非加密 HDMI 输出
最容易被忽略的是：写了 disableRemotePlayback 后还能投成功，问题几乎从不在这个属性本身，而在于视频地址明文暴露、.m3u8 文件长期可访问、或页面被 iframe 套嵌绕过所有限制。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
