Angular开发的企业内部应用如何对接本地Active Directory实现用户认证？

首先直接给出核心结论：纯前端无后端支撑的场景下，你描述的需求无法直接实现。

原因说明 #

• Active Directory（AD）的身份校验、用户组查询都属于敏感操作，需要在受信任的服务端环境执行：AD原生提供的LDAP接口不支持浏览器端直接调用，存在跨域限制、身份权限限制，且直接暴露AD接口到内网前端本身就属于极高风险的配置，容易出现账号爆破、数据泄露等安全问题。
• 你如果在Angular前端直接收集用户账号密码再发送校验，密码传输、存储过程中都存在被窃取的风险，不符合企业内部系统的安全规范。

相关问题回复 #

1. 是否有对应的Angular扩展包可以支持该功能？ #

没有可以独立在纯前端环境完成AD身份校验、用户组查询的Angular扩展包。目前公开的Angular身份认证相关库（比如MSAL Angular、ADAL.js等），都仅作为前端对接身份认证服务端的SDK使用，必须配合后端身份服务才能完成全流程的AD校验。

2. 是否需要使用Okta/Auth0这类身份认证服务？ #

不需要额外引入第三方身份服务，你当前使用IIS托管的场景下可以用更低成本的方案实现需求：

• 在IIS托管Angular应用的站点上开启Windows身份认证，关闭匿名身份认证，配置应用池身份为拥有AD查询权限的域账号；
• 仅需要在IIS站点中新增一个极简的服务端接口（几十行代码即可，用ASP.NET/Node.js都可以实现，不需要完整后端项目），接口返回当前已自动完成Windows域认证的用户账号、所属用户组信息；
• Angular前端直接调用该接口获取用户身份信息即可，域内已登录的用户不需要手动输入账号密码，体验和安全性都符合要求。

如果你坚持使用完全无后端的纯静态部署方案，可以选择对接Okta/Auth0这类第三方身份提供商：先完成企业AD和第三方服务的集成同步，再在Angular端使用对应服务商提供的前端SDK走OIDC认证流程，从返回的ID令牌中获取用户身份、用户组信息，但该方案需要额外的配置成本，且依赖外部服务可用性。

内容的提问来源于stack exchange，提问作者Rick Wolff