AuthorizeAttribute v Application_AuthenticateRequest

Мы хотим авторизовать пользователей и если они авторизованы, мы хотим добавить их роли и разрешения к пользователю и добавить это к IPrinciple

У нас есть 2 способа сделать это один - сделать это в global.asax Application_AuthenticateRequest другой - создать атрибут, который наследуется от AuthorizeAttribute

Есть ли здесь какой-нибудь блестящий хороший выбор?