CREATE 
DATABASE web

CREATE TABLE users
(
username nvarchar(64) CONSTRAINT users_PK PRIMARY KEY,
password nvarchar(128),
roles nvarchar(64)
)

CREATE INDEX credentials ON users
(
username,
password
) 

        private void btnLogin_Click(object sender, System.EventArgs e)
        {
            //初始化FormsAuthentication
            FormsAuthentication.Initialize();
            //创建个connection和command对象
            SqlConnection conn = new SqlConnection("server=(local);uid=sa;pwd=mydream54win;database=web");
            SqlCommand cmd = conn.CreateCommand();
            cmd.CommandText = "select roles from users where username=@username and password=@password";
            //添加参数以及给参数赋值
            cmd.Parameters.Add("@username", SqlDbType.VarChar, 64);
            cmd.Parameters["@username"].Value = Username.Value;
            cmd.Parameters.Add("@password", SqlDbType.VarChar, 128);
            cmd.Parameters["@password"].Value = Password.Value;
            //打开数据库连接
            conn.Open();
            //执行命令
            SqlDataReader reader = cmd.ExecuteReader();
            if (reader.Read())
            {
                //创建一个新的验证票FormsAuthenticationTicket
                FormsAuthenticationTicket ticket = new FormsAuthenticationTicket(
                1,//票版本号
                Username.Value,//cookie名字
                DateTime.Now,//生成cookie时间
                DateTime.Now.AddMinutes(30),//cookie的有效时间
                false,//是不是永久存在的cookie
                reader.GetString(0));//从数据库读到的用户角色数据
                //把验证票加密
                string hashTicket = FormsAuthentication.Encrypt(ticket);
                //设置验证票cookie,第一个参数为cookie的名字,第二个参数为cookie的值也就是加密后的票
                HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName, hashTicket);
                //设置cookie的有效期是一个礼拜
                cookie.Expires = DateTime.Now.AddDays(7);
                //把cookie加进Response对象发生到客户端
                Response.Cookies.Add(cookie);
                //得到请求的url
                string requestUrl = FormsAuthentication.GetRedirectUrl(FormsAuthentication.FormsCookieName, false);
                //不要使用FormsAuthentication.RedirectFromLoginPage方法,因为这个方法会重写cookie
                //重新定向到请求的url
                Response.Redirect(requestUrl);
            }
            else
            {
                //如果不存在此用户,则提示一些错误
                ErrorLabel.Text = "用户名或者密码错误,请重试!";
                ErrorLabel.Visible = true;
            }
            //关闭数据库连接和reader
            reader.Close();
            conn.Close();
        }

using System.Web.Security;这两个名字空间,代码如下:
protected void Application_AuthenticateRequest(Object sender,EventArgs e)
{
        if(HttpContext.Current.User!=null)//如果当前的http信息中存在用户信息
        {
            if(HttpContext.Current.User.Identity.IsAuthenticated)//如果当前用户的身份已经通过了验证
            {
                if(HttpContext.Current.User.Identity is FormsIdentity)
                {
                    //如果当前用户身份是FormsIdentity类即窗体验证类,此类有个属性能够访问当前用户的验证票
                    FormsIdentity fi = (FormsIdentity)HttpContext.Current.User.Identity;//创建个FormsIdentity类,用他来访问当前用户的验证票
                    //获得用户的验证票
                    FormsAuthenticationTicket ticket = fi.Ticket;
                    //从验证票中获得用户数据也就是角色数据
                    string userData = ticket.UserData;
                    //把用户数据用,分解成角色数组
                    string[] roles = userData.Split(\',\');
                    //重写当前用户信息,就是把角色信息也加入到用户信息中
                    HttpContext.Current.User = new GenericPrincipal(fi,roles);
                }
            }
        }
} 

<configuration>
  <system.web>
    <authentication mode="Forms">
      <forms name="MYWEBAPP.ASPXAUTH"
      loginUrl="login.aspx"
      protection="All"
      path="/"/>
    </authentication>
    <authorization>
      <allow users="*"/>
    </authorization>
  </system.web>
  <location path="admins">
    <system.web>
      <authorization>
        <!-- Order and case are important below -->
        <allow roles="Administrator"/>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>
  <location path="users">
    <system.web>
      <authorization>
        <!-- Order and case are important below -->
        <allow roles="User"/>
        <deny users="*"/>
      </authorization>
    </system.web>
  </location>
</configuration> 

<authentication mode="Forms"> 
    <forms name=".ASPXAUTH" loginUrl="login.aspx" timeout="30" path="/"/>
</authentication>
其中<authentication mode="Forms"> 表示本应用程序采用Forms验证方式。
<forms>标签中的name表示指定要用于身份验证的Cookie。默认是.ASPXAUTH,其实你可以用任何名字,这也就是你在本地硬盘上看到的cookie里面的前面的几个字.

public FormsAuthenticationTicket
(
    int version, //设为1
    string name, //用户标示
    DateTime issueDate, //Cookie 的发出时间, 设置为 DateTime.Now 
    DateTime expiration, //过期时间
    bool isPersistent, //是否持久性(根据需要设置,若是设置为持久性,在发出cookie时,cookie的Expires设置一定要设置)
    string userData, //这里用上面准备好的用逗号分割的role字符串
    string cookiePath // 设为”/”,这要同发出cookie的路径一致,因为刷新cookie要用这个路径
);

FormsAuthenticationTicket Ticket = new FormsAuthenticationTicket (1,”kent”,DateTime.Now, DateTime.Now.AddMinutes(30), false,UserRoles);

//加密Ticket
string hashTicket = FormsAuthentication.Encrypt(ticket);
//设置验证票cookie,第一个参数为cookie的名字,第二个参数为cookie的值也就是加密后的票
HttpCookie cookie = new HttpCookie(FormsAuthentication.FormsCookieName,hashTicket);
//设置cookie的有效期是一个礼拜
cookie.Expires = DateTime.Now.AddDays(7);
//把cookie加进Response对象发生到客户端
Response.Cookies.Add(cookie);
//得到请求的url
string requestUrl = FormsAuthentication.GetRedirectUrl(FormsAuthentication.FormsCookieName,false);
//不要使用FormsAuthentication.RedirectFromLoginPage方法,因为这个方法会重写cookie
//重新定向到请求的url
Response.Redirect(requestUrl);