Si tu fais une redirection HTTP (ou via un meta, c'est pareil), ton script PHP termine son exécution gros malin. Donc l'application se relance pour la nouvelle page, mais si tu n'exécutes pas le contrôleur qui instancie tes ACL, tu les as perdues, forcément.

Quand je parle de les enregistrer, ça veut dire les mettre en base de données (car c'est que fait iFile non ?).

Si j'ai compris ce que tu veux faire, je te conseille ceci : créé toi un modèle qui va extraire les ACL de ta base de données et te générer ton objet Hoa_Acl. Tu pourras l'utiliser depuis tous tes modèles. Tu n'auras pas besoin de session et de bidouille de ce genre (sauf pour l'identifiant de l'utilisateur bien évidemment).