Она же лежит в объекте Request, вы в объявленном методе user указали их, но при вызове не передали.
Конкретно в приведенном примере, просто передайте ее в вашу функцию. Но я бы подумал и переписал бы чуть иначе и просто объект сессии передавал, а не целеком Request.
