React使用msal/adal对接本地Windows Server AD的可行性及安全性咨询

问题一：能否使用msal/adal库完成对接？ #

msal与adal均为微软官方针对Azure AD生态开发的认证库，原生不支持直接对接纯本地部署的Windows Server AD。
只有当你的本地AD配套部署了AD FS（活动目录联合服务），且完成了AD FS与Azure AD的信任联邦配置的前提下，才可以通过msal调用Azure AD的联邦认证链路，间接完成本地AD用户的身份校验，纯离线无Azure的本地环境下这两个库无法使用。

问题二：自定义登录表单+JWT令牌交换的方案可行性与安全风险 #

方案可行性 #

如果是无Azure、无AD FS的纯本地AD环境，自定义登录表单+JWT令牌交换是合规的实现路径，常规实现逻辑为：前端收集账号密码提交给后端接口→后端调用本地AD的官方接口（比如LDAP接口、微软AD认证API）完成账号有效性校验→校验通过后后端签发JWT返回给前端→后续前端请求携带JWT完成身份校验。

安全风险说明 #

账号凭证直接提交给后端API本身不会直接构成安全漏洞，只要满足以下安全规范即可规避风险：

• 全程使用HTTPS协议传输凭证，禁止使用HTTP明文传输，避免凭证被中间人窃听篡改
• 前端仅在提交阶段临时持有凭证，认证完成后立即清除内存中的账号密码信息，禁止将凭证存入localStorage、sessionStorage、Cookie等持久化存储区域
• 后端接收到凭证后仅用于AD身份校验，不记录、不存储明文密码，校验完成后立即丢弃明文凭证数据
• 登录接口配置限流、验证码、登录失败次数限制等策略，防范暴力破解攻击
• JWT需配置合理的过期时间，payload禁止存储敏感信息（JWT的payload仅为base64编码，未做加密处理，可直接解码），敏感操作需额外做身份二次校验

内容的提问来源于stack exchange，提问作者sampa