A partir do Rails 4.0, foi eliminado o ActiveRecord Session Store, que guardava variáveis de sessão no banco de dados, por "problemas de desempenho." Porém a funcionalidade continua funcionando através de uma gem. Hoje o Rails utiliza o Cookie Session Store.
ActiveRecord session store - The ActiveRecord session store is extracted to a separate gem. Storing sessions in SQL is costly. Instead, use cookie sessions, memcache sessions, or a custom session store.
Fonte: http://edgeguides.rubyonrails.org/4_0_release_notes.html
Traduzido:
ActiveRecord session store - O ActiveRecord session store foi transferido para uma gem separada. Armazenar sessões no banco de dados é custoso [em termos de desempenho]. Ao invés disso, use sessões baseadas em cookies, memcache sessions, ou uma session store personalizada.
- Gem: https://github.com/rails/activerecord-session_store
- Commit em rails/rails: https://github.com/rails/rails/commit/0ffe19056c8e8b2f9ae9d487b896cad2ce9387ad
Apesar disso, encontro referências na web dizendo que ainda é recomendado o seu uso (para evitar session hijacking, por exemplo). O próprio guia do Rails sobre segurança (http://guides.rubyonrails.org/security.html) parece sugerir isso, apesar de não citar nominalmente a gem.
Afinal, é realmente vantagem usar o banco de dados para guardar variáveis de sessão, como o id do usuário logado, etc? O custo de desempenho chega a ser perceptível?