su database sono generalmente più sicuri che su file, se l'hosting è condiviso, perché spesso il server è configurato affinché le sessioni vengano memorizzate tutte nella stessa directory con accesso da parte di tutti i siti ospitati, mentre al tuo database puoi accedere solo tu.