Перенаправляйте все маршруты на один URL, пока не будет выполнено условие

после входа в систему этого пользователя вы должны установить флаг в его сеансе (т.е. changePasswordNeeded).

$ request-> getSession () -> set ('changePasswordNeeded', истина);

Добавить слушателя, который будет запущен на KernelRequest

kernel.listener.your_listener_name: класс: YourLitenerClass теги: - {имя: kernel.event_listener, событие: kernel.controller, метод: onKernelRequest}

Перенаправление для формирования каждого запроса, кроме запроса change_temp_password (для избранных пользователей)

публичная функция onKernelRequest (FilterControllerEvent $ event) {

  $request = $event->getRequest();

  if ($request->getSession()->has('changePasswordNeeded')) {
    $expectedRoute = 'change_temp_password';
    if ($expectedRoute === $event->getRequest()->get('_route')) {
      return;
    }

    $url = $this->router->generate($expectedRoute);
    $response = new RedirectResponse($url);
    $event->setResponse($response); 
  }        
}