ま、それでいいんじゃね?
セッション変数の中身は外から見えないからencode必要ないけどな。