ad. 1) Zależy od ustawień. Domyślnie są zapisywanie w plikach w folderze tymczasowym (więcej info:
http://php.net/manual/en/session.configuration.php#ini.session.save-path )
ad. 2) IMO tego typu problemy rozwiązuje się, gdy się je napotka. Takie gdybanie w chwili, gdy nie masz ani jednego usera, raczej nie prowadzą gdziekolwiek.
ad. 3) To brzmi jak bardzo dobry sposób na zajechanie bazy danych ;) Niemniej sesje w PHP pozwalają napisać własne handlery pod nie.
Hint: jeśli chcesz obsługi bazy danych, to szedłbym w tabele MEMORY w MySQL albo w Redisa/memcached