Честно, много кто делает формы с кучей наворотов, но забывает про банальные вещи — нормальный TLS обязательно и ограничение попыток входа. Всё остальное — уже допы, которые не спасут, если базу плохо защитил. Без нормального бэкенда и правильных хэшей паролей вся эта красота на фронте — просто видимость защиты.