当我们使用Asp.net MVC Forms方式验证用户， 然后设置Controller 或 Action 的 Authorize属性时， 默认情况下只有Users属性可以设置（这里的Users通常是指用户登录名）， 我们无法直接设置用户的角色信息 ， 当建立一个依赖角色的应用时(又不想麻烦配置Membership)，我们有必要给认证用户加上角色信息，下面是具体方法 ：
1.Web.config 配置 ,以下设置标明我们使用Forms验证
<authentication mode="Forms">
<forms loginUrl="~/Account/LogIn" timeout="" slidingExpiration="true" cookieless="UseCookies" path="/" name=".MYASPXAUTH" />
</authentication>
<!--<authorization>
<deny users="?"/>
</authorization>-->
具体配置参考：http://msdn.microsoft.com/zh-cn/library/1d3t3c61(v=vs.100).aspx
<forms
name="name"
loginUrl="URL"
defaultUrl="URL"
protection="[All|None|Encryption|Validation]"
timeout="[MM]"
path="path"
requireSSL="[true|false]"
slidingExpiration="[true|false]">
enableCrossAppRedirects="[true|false]"
cookieless="[UseUri|UseCookies|AutoDetect|UseDeviceProfile]"
domain="domain name"
ticketCompatibilityMode="[Framework20|Framework40]">
<credentials>...</credentials>
</forms>
slidingExpiration：是否滑动过期，应设置为true
name属性：如果服务器有多个应用程序，每个应用程序的name属性应不同。
上面代码注释掉了deny 设置，如果设置了上面的项，则所有页面都需要用户登录。注释掉之后，只在访问在Controller或Action上面设置了验证用户或角色的页面时，才提示登录。
2 Global.asax.cs 添加验证请求事件代码 ，如果用户信息已经设置， 则重新构造带角色信息的用户对象 ， 角色信息从身份凭证票据的UserData属性中获取，多个角色以逗号隔开。
protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
var app = sender as HttpApplication; if (app.Context.User != null)
{
var user = app.Context.User;
var identity = user.Identity as FormsIdentity; // We could explicitly construct an Principal object with roles info using System.Security.Principal.GenericPrincipal
var principalWithRoles = new GenericPrincipal(identity, identity.Ticket.UserData.Split(',')); // Replace the user object
app.Context.User = principalWithRoles;
}
}
上面代码是Asp.net请求管道中的一个环节，每次请求时都会执行。
如果UserData中还想保存其它数据，需要使用其它分隔符进行分割并处理。
这种方式主要用于系统功能简单，角色较少的应用。
经过上面角色的转换，系统就可以直接使用内部定义的验证方式进行验证了。
3.用户合法性验证通过后， 构造带角色信息的加密身份凭据 ， 角色信息存储在票据的UserData中。
[HttpPost]
public ActionResult LogOn(User user)
{
// check user by quering database or other ways. skip this logic. string userRoles = "admin,user,powerUser";
bool isPersistent = false;
int version = ;
double persistentMinutes = 30.00; // minutes
string userName = user.Name; string cookiePath = FormsAuthentication.FormsCookiePath; FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(version, userName, DateTime.Now, DateTime.Now.AddMinutes(persistentMinutes), isPersistent, userRoles, cookiePath);
string encryptedTicket = FormsAuthentication.Encrypt(ticket); HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
Response.Cookies.Add(cookie); return Redirect(Request.QueryString["returnUrl"]);
}
isPersistent:是否将cookie持久化保存到客户端硬盘。一般应该选择false，即每次访问都要登录。但可以将用户名保存到客户端，用户登录时直接取得并设为默认。
HttpCookie userNmaecook=new HttpCookie("MyAppUserName",userName);
vljidcook.Expires=DateTime.Now.AddDays();
this.Context.Response.Cookies.Add(userNmaecook);
4. 使用角色信息控制用户对Controller 或 Action 的访问 ， 因为我们上面设置用户拥有admin , user , powerUser 角色， 所以用户有权访问此方法
public class HomeController : Controller
{
[Authorize(Roles="admin,powerUser")]
public ActionResult Index()
{
//用户拥有 admin,user,powerUser 角色， 所以可以访问此方法。
return View();
}
}
一般权限应按ontroller设置，后台管理和前台浏览使用不同的controller。
5. 以下是AuthorizeAttribute AuthorizeCore方法的源码 ， 我们可以看到其中只要用户有AuthorizeAttribute.Roles设置中的任意角色， 就可以通过AuthorizeAttribute 的审核
// This method must be thread-safe since it is called by the thread-safe OnCacheAuthorization() method.
protected virtual bool AuthorizeCore(HttpContextBase httpContext)
{
if (httpContext == null)
{
throw new ArgumentNullException("httpContext");
} IPrincipal user = httpContext.User;
if (!user.Identity.IsAuthenticated)
{
return false;
} if (_usersSplit.Length > && !_usersSplit.Contains(user.Identity.Name, StringComparer.OrdinalIgnoreCase))
{
return false;
} if (_rolesSplit.Length > && !_rolesSplit.Any(user.IsInRole))
{
return false;
} return true;
}