Не обязательно. Аутентификация с помощью форм по-прежнему предоставляет довольно много встроенных функций, которые вам могут понадобиться. Может быть, вы можете сгенерировать и выдать Guid при первом входе каждого пользователя в систему и сохранить его на стороне сервера и в cookie-файле (желательно, защитном билете). Каждый раз, когда делается запрос, вы проверяете, чтобы убедиться, что пользователь использует не только правильные учетные данные, но и тот же компьютер и браузер (на основе файла cookie, который вы выдавали пользователю при входе в систему). Вы, конечно, должны убедиться, что срок действия вашего Guid истекает в какой-то момент, а также убрать его, когда пользователь выйдет из системы.