Asp.net 已登录用户的密码过期策略

我想使用密码过期策略。对于想要登录网站的用户，我们可以在登录控件的验证事件中检查密码。但是那些已经登录并且不会被登录页面缓存的用户呢，建议处理

HttpApplication.PostAuthenticateRequest

事件，这不是一个好方法

---

我正在考虑处理

session\u start（）

事件。对于每个用户，这会触发一次，我们可以检查用户密码是否为当前密码。但是我不知道是否有已经登录的用户在几天后访问了该站点。该事件是否会触发？

是否确实要因为密码已过期而将用户注销？登录cookie过期和密码过期是两个独立的问题

我认为维护登录cookie直到其自身过期，然后在下次登录时强制用户更改其密码没有任何错误。只要确保您不会发布过期时间过长的cookie，您的所有用户迟早都必须重新登录。这就是您发现密码可能过期的地方

还要注意的是，检查每个请求的过期时间（不管是后验证还是预处理执行）可能是不可能的。如果你的站点依赖于外部身份验证源，你就不能去那里检查密码是否过期。想象一下，询问谷歌或Facebook（如果你的用户在那里进行身份验证）密码是否过期。这是不容易做到的（或者根本不可能做到）