Мы рассматривали возможность использования Azure потока аутентификации AD с ADAL. JS на внешнем интерфейсе для нашего приложения. Просматривая код, кажется, что токены идентификаторов, возвращенные из Azure AD, кэшируются в хранилище сеансов. AFAIK это очень плохая идея, так как локальное и сессионное хранилище уязвимы для XSS. С другой стороны, я бы сомневался, что Microsoft предоставляет корпоративную библиотеку с дырой в безопасности. Я сумасшедший, и это действительно безопасно, или мы действительно не должны использовать эту библиотеку?