استفاده از Application_PostAuthorizeRequest در API

شرح سوال،
يك سيستم را در ساختار MVC5 نظر بگيريد كه براي احراز هويت كاربران از كتابحانه ASP Identity استفاده نشده و Session ها به صورت Manual ذخيره و كنترل مي شوند. حال براي اضافه نمودن WebApi نياز به ساختاري داريم كه كار بر بتواند با توكن امني كه در هر درخواست براي ما ارسال مي كند احراز هويت نمايد. ساختار احراز هويت در سيستم ما با Session مي باشد براي همين در فايل Global.ASAX در بخش Application_PostAuthorizeRequest براي WebApi Session را Required قرار داده ايم.
اين قسمت منجر به اين شده است كه كاربران معمولي ما كه از سيستم WebApi هم استفاده نمي نمايند بعد مدتي كار بر روي سيستم Logout شوند.

سوال تون خیلی واضح نیست.
برای پیاده سازی یک مکانیسم احراز هویت مبتنی بر توکن راه های خیلی بهتری هست. استفاده از سشن چندان توصیه نمی شود، چرا که راه حل قابل اعتمادی برای این گونه سناریوها نیست. بخصوص اینکه در سرورهای هاستینگ ایرانی عمدتا به دلیل کمی حافظه Ram ای که به هر سایت اختصاص می دهند سشن و ... مرتب Terminate می شود.