使用REST API后端在Web应用程序中强制更改密码

Question

在应用程序中，如果登录名和密码正确，我将为用户生成令牌。

但是我有一段时间内有关密码更改的安全策略。

当密码到期时，我需要强制用户更改密码，并阻止API（登录和更改密码端点除外），直到他更改密码。

在这种情况下，其他终结点应该回答什么？

Answer 1

我desicion：

直到密码没有改变端点（除用户/登录，用户/ CHG-PWD）回答403 Forbiddent。