Ответ 1
Токены бесполезны без ключа/секрета для вашего приложения Twitter, поскольку они не одинаковы для каждого приложения, но зависят от ключа/секретности клиента.
Чтобы получить переменную сеанса, вам придется угадать идентификатор сеанса, который не так легко выполнить.
Если вы хотите, чтобы вы могли хранить эти токены в сеансе, но я бы предложил сохранить токены пользователя в вашей базе данных со всеми другими пользовательскими данными, чтобы ваш сеанс содержал только данные для идентификации пользователя в вашей системе.
Обновление: я не уверен, правильно ли понимаю, что вы подразумеваете, обратившись к токенам из базы данных, угадывая идентификатор.
Есть ли у вас аутентификация, чтобы пользователи могли вводить некоторые учетные данные для доступа к своим данным? Вы должны хранить маркеры так же, как вы храните адрес электронной почты или пароль пользователя, и только пользователи с проверкой подлинности должны иметь доступ к нему.