以下是引用铲铲在2007-6-16 23:35:39的发言：

前面已经说过，实际上这里是做过简化的。原理很简单，用户拥有的角色名称可以是一个或者多个，他们实际上是以一个字符串数组的形式表示，这个数组有多少个字符串元素，那么用户就有多少个角色。
即使是使用数据库存储，那没有关系。我们不关心你在数据库中如何存储和实现，只是在这个地方，你能够构造适当的逻辑，为用户持有的角色表现成字符串数组就可以了。
只有Context.User属性是可写的，其他User属性只可以获取而不能设置。实际上这是在一个HttpApplication的Context中实现Iprincipal接口的对象，它会传播到稍后构造的Page对象对象和Request对象中。
至于“Role Update一下”我不太清楚你的表述是何含义。

以下是引用铲铲在2007-6-16 23:38:32的发言：
补充一点，Web.config的权限管理和数据库是没有关系的。我们利用数据库是利用数据库来存储你对用户所做的权限，或者规范一点就是说存储用户应该持有的角色是什么。不使用数据库，上面的方法仍然有效。我们不关心如何存储这些权限信息，你只需要在这里构造能够取出来，重新构造一个GenericPrincipal对象即可