java我可以将RequestToken发送到web浏览器，还是应该将其存储在数据库中？

Question

我使用Scribe和Twitter API

我不知道RequestToken是否应该对用户保持不可见。由于它包含一个名为secret的字段，我认为最好将其存储在数据库中，只将RequestToken的ID提供给用户，如下所示：

问题：我真的需要像这样保护RequestToken，还是可以将其公开给用户（并与验证器明确地重新发送）

注意：我的服务器是无状态的，因此我无法在会话中存储任何内容