1) Supondo que a Sessão seja baseada em cookies, ela ainda deve estar lá quando eles voltarem ao seu site (desde que eles não tenham fechado a janela do navegador nesse meio tempo, o que é improvável).

Se você realmente não quiser ter certeza, armazene a sessão no banco de dados em uma tabela temporária associada ao order_id que você está gerando. Acredito que seja possível que este (order_id) seja passado de volta após a conclusão da transação. Leia os documentos em PDT .

2) Acredito que não. Verifique os documentos página 250 em diante.