使用REST API後端在Web應用程序中強制更改密碼

Question

在應用程序中，如果登錄名和密碼正確，我將爲用戶生成令牌。

但是我有一段時間內有關密碼更改的安全策略。

當密碼到期時，我需要強制用戶更改密碼，並阻止API（登錄和更改密碼端點除外），直到他更改密碼。

在這種情況下，其他終結點應該回答什麼？

Answer 1

我desicion：

直到密碼沒有改變端點（除用戶/登錄，用戶/ CHG-PWD）回答403 Forbiddent。