Authorization and LoadControl

Jeg har en side kaldet "ViewPage.aspx" som ligger i roden af mit projekt og så har jeg nogle usercontrols (ascx) der ligger i eksempelvis "root/admin".

Siden ViewPage.aspx henter en control på baggrund af en Request parameter. Den kalder ex. LoadControl("admin/control.ascx").

I mit admin bibliotek har jeg lagt en web.config indeholdende:
<configuration>
  <system.web>
      <authorization>
        <allow roles="Adminstrator"/>
        <deny users="*"/>
      </authorization>
  </system.web>
</configuration>

Mit spørgsmål går på om det kan passe at en side kan kalde LoadControl på en side, hvor den ikke overholder den authorization som der er sat op. Jeg oplever nemlig at enhver kan få lov at se det der ligger under admin biblioteket....

Er der nogen der har en god forklaring til dette eller kan henvise til guldkorn omkring dette.