Na sessão ou em um cookie.
Se você salva no JavaScript, primeiro não vai funcionar se o usuário tiver desabilitado JavaScript, segundo se o browser ou o computador "travar" ele perde todo o seu carrinho (você pode mitigar isso usando localStorage
- quando suportado).
Se você usa a sessão, aí depende: o que acontece se o usuário fecha o browser (intencionalmente ou não - mesmo caso acima)? Se todos os dados forem apagados ao final da sessão, então há o mesmo problema. E a performance pode ser pior, se você precisar acessar o banco de dados cada vez que o usuário incluir um item novo.
Usabilidade
Um problema comum com carrinhos de compra é o que acontece quando o usuário abre mais de uma aba ao mesmo tempo, ou usa o botão "Voltar" - nesses casos, o que está aparecendo na tela é uma coisa, o que realmente está no carrinho pode ser outra coisa. Pessoalmente, não sei qual será a expectativa do usuário: a) que o carrinho esteja exatamente igual ele está vendo na tela; ou: b) que o que ele fez numa aba esteja "salvo" de alguma forma, mesmo quando ele mexe na outra. A forma como você implementa tem impacto em um ou outro cenário.
O melhor que tenho a sugerir nesse caso é incluir um token aleatório nos formulários de submissão (por exemplo, como um hidden input) e sempre comparar esse token com aquele do carrinho antes de executar uma ação. Se forem diferentes, mostre a mesma página de novo pro usuário, atualizada - de modo que ele esteja vendo o carrinho correto antes da ação ser feita de fato.
Segurança
Se você estiver usando https
como espero que esteja, não faz muita diferença como é armazenado. Você pode assinar os dados do cookie, no servidor, se quiser evitar que o cliente mexa nos valores inapropriadamente (inclusive, é assim que muitas frameworks fazem para manter dados da sessão num cookie - e não no BD - sem comprometer a segurança do site), mas isso pode nem ser necessário.