HTML video 标签无投屏白名单机制，仅支持 disableRemotePlayback 布尔属性禁用投屏UI，不校验设备身份；真设备限制需服务端结合Token、指纹、DRM等策略实现。
HTML video 标签没有投屏白名单机制
HTML5 的 标签本身不提供“投屏白名单”功能，也没有 allowRemotePlaybackForDevices 或类似属性。所谓“指定设备播放”，浏览器层面无法实现——disableRemotePlayback 是唯一原生支持的投屏相关控制，但它只是提示禁用，不是白名单，更不支持按设备 ID、IP 或型号放行。
disableRemotePlayback 不是白名单，也不能指定设备
这个布尔属性的作用很明确：向浏览器发出“不希望此视频被投屏”的信号。它不接收值，也不接受参数：
-
disableRemotePlayback✅ 正确写法（无赋值） -
disableRemotePlayback="true"❌ 会被忽略 -
disableRemotePlayback="disabled"❌ 同样无效
它在 Chrome/Edge 中隐藏投屏图标，在 Safari（iOS 15.4+）中抑制 AirPlay 入口，但对 Firefox 完全无效；更重要的是，它不检查设备身份、不校验网络环境、不拦截协议握手，因此根本谈不上“白名单”或“指定设备”。
真要限制播放设备，得靠服务端策略组合
前端 HTML 层面无法识别或锁定设备，必须把判断逻辑移到后端，并配合客户端辅助信号：
- 每个视频请求携带动态 Token（如 JWT），其中嵌入设备指纹字段（
device_id、fingerprint_hash），服务端校验是否匹配当前会话注册设备 - 前端通过
navigator.userAgent+navigator.platform+screen.width等生成轻量指纹，和服务端比对（注意：不可单独依赖，易伪造） - 对 HLS/DASH 流，服务端在返回
.m3u8或manifest前，校验 Referer、Origin、自定义 Header（如X-Device-Auth） - 启用 DRM（如 Widevine）时，在 license response 中设置
outputProtection策略，要求 HDCP 连接——这能间接阻止非认证投屏设备解密播放
这些手段都绕不开服务端参与，纯 HTML 或 JS 静态配置做不到设备级准入。
容易被忽略的关键点
很多团队花时间调试 disableRemotePlayback 是否生效，却忽略了更基础的事实：即使成功禁用了投屏 UI，用户仍可直接用手机拍摄电视画面、开启系统录屏、或抓包获取视频分片 URL 并本地下载。真正的防护边界不在标签属性里，而在 Token 时效性、分片加密强度、DRM 授权策略和播放环境可信度检测的协同上。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
