在asp.net mvc4应用程序中使用授权过滤器

Question

我有一个asp.net Mvc4应用程序，其中我想使用授权过滤器保护我的应用程序，所以我将此代码段添加到我的web.config文件

<system.web>
    <authentication mode="Forms" >
      <forms loginUrl=""~/Home/Login" />
    </authentication>
    </system.web>

在控制器中：

 public ActionResult Login() {
           return View(new User());
       }
      [HttpPost]
       public ActionResult Login(User u)
       {
           return View(new User());
       }


      [Authorize(Roles ="admin")]
       public ActionResult AdminSpace()
       {
           return View();
       }
        [Authorize(Roles = "admin, user")]
       public ActionResult UserSpace()
       {
           return View();
       }

最后是user类

 public class User
    {
        public string Login { get; set; }
        public string Mdp { get; set; }
        public bool IsAdmin { get; set; }

        public static bool Authentificate(string login, string password){

            if (login == "admin" && password == "admin")
            {

            }

            if (login == "user" && password == "user")
            {

            }
            else {
                return false;
            }
        }
    }

就问题而言，我想将admin的角色添加到帐户（admin / admin），将角色用户添加到帐户（用户/用户）。

• 如何更改代码以达到此目标？
• 在asp.net互联网应用程序中验证用户的最佳做法是什么？