O que a documentação quer é que as credenciais (token, bearer token, secret key...) devem ser mantido apenas com você, em segurança. Uma vez que se obter essas informações será capaz de fazer requisições em nome do seu aplicativo do Twitter.
Qualquer um que conseguir sua chave privada (API Secret) poderá autenticar os usuários se passando por sua aplicação. Bem como que qualquer um que tiver os tokens/bearer token também poderá utiliza-los como quiser, em nome do seu aplicativo. Por exemplo, poderão postar tweets como se o seu aplicativo estivesse postado, sem que você de fato tenha feito isso.
Por esse motivo essas informações não podem ser compartilhada ou distribuídas, assim se mantendo apenas com você.
Estou querendo que o usuário ao invés de clicar no botão Entrar com o Twitter usando oAuth, ele preencha um formulário com seus dados do Twitter, usuário e senha.
A API oficial do Twitter, a pública, apenas permite que utilize o oAuth. Ele foi construído justamente para que os usuários não informem suas credenciais para terceiros.
Não há nenhuma maneira oficial de fazer o que você quer. O que existe são gambiarras. Que é utilizar a API privada, aquela que twitter utiliza. Salvo engano já havia informado como pode fazer isso. Você pode fazer uma engenharia reversa no aplicativo móvel do twitter, assim como monitorar as requisições feita pelo aplicativo.
No website do Twitter você pode simplesmente monitorar o tráfego (os navegadores já possuem este recursos) e então saberá os endpoints utilizados.
Você pode tentar procurar por alguém que já tenha feito esse trabalho, inclusive poderá achar pessoas que já disponibilizaram tais informações publicamente ou até mesmo bibliotecas em alguma linguagem que utiliza a API privada.
Uma vez com a posse das senhas você poderá obter o cookie da sessão, essa é quase um "Token", porém da API privada. Ela normalmente é armazenada em cookies (ou em vários cookies), no caso da API do aplicativo móvel talvez esteja criptografado, exigindo alguma engenharia reversa para obter as chaves.
OBS: Não quero roubar informações, pois não é possível...
Ora, se você pede a senha de outras pessoas... A frase "Não quero roubar informações, pois não é possível..." é um erro. Não só você tem a capacidade de "roubar" as credenciais, como outras pessoas podem "roubar o seu roubo".
Uma vez que você pede e recebe as senhas do Twitter você terá as senhas, você tem acesso a tais credenciais. Mesmo que utilize HTTPS, as informações são descriptografadas em seu lado, na melhor das hipóteses, e serão armazenados em "alguma memoria", afim você tem acesso.
Com tudo, se o Token são senhas, posso recuperar o screen_name e usar um crypt, não sei se o Twitter usa sha1, pra eu pode recuperar a senha também. Se alguém souber, informe aqui.
Sinceramente não entendi o que quer dizer. O Token
é aleatório, gerado apatir da sua chave privada e pública para o usuário que autorizou a sua aplicação. Elas são como uma senha no ponto de vista de seu sigilo, uma vez que tanto sua senha e tanto um Token não devem ser compartilhados, e assim como ambas concedem acesso a fazer interações em seu nome.
Salvo engano o oAuth2 não utiliza nenhuma criptografia no Token
em si, somente no seu tráfego, isto é feito para tornar as respostas mais rápidas e até por isso não exige que você criptografe qualquer Token.
Se você quiser manter o Token de maneira extremamente segura o máximo que pode fazer, ao meu ver, é utilizar uma criptografia assimétrica e usar algum HSM para armazenar as chaves.