使用REST API后端在web应用程序中强制更改密码

在应用程序中，若登录名和密码正确，我将向用户生成令牌

但我有关于在某个时期内更改密码的安全策略

当密码过期时，我需要强制用户更改密码，并阻止API（除了登录和更改密码端点），直到他更改密码

在这种情况下，其他端点应该回答什么问题？

我的决定：

直到密码未更改端点（用户/登录、用户/chg pwd除外）回答

403禁止

我的决定：

直到密码未更改端点（用户/登录、用户/chg pwd除外）回答

403禁止