A livello di sicurezza non vedo alcuna differenza. L'unico modo per stare al "sicuro" è utilizzare il database, del resto non vedo motivi per non farlo, anzi, permetti al cliente di salvare il proprio carrello come lista dei desideri o promemoria, o semplicemente permettergli di fare l'acquisto più tardi, senza fargli selezionare nuovamente tutti i prodotti se chiude il browser o se il cookie scade