Если вы хотите получить доступ к аутентифицированным пользователям через ваш объект UserList, вы должны держать его в области приложения. Но он жив в течение всей жизни приложения. Итак, это не минимально.
Другой подход может хранить зарегистрированных пользователей в таблице базы данных, и вы можете запросить эту таблицу через компонент области событий. Область действия события эквивалентна области запроса Http. Таким образом, он убивается после каждого запроса к серверу.