En fait comme il dise, l'enregistrement d'une clé auth en base de donnée est moins sécurisé plutôt que de générer un token, mais cela dépend de certain facteur. Il faut savoir qu'il y a des grosses boites connu qui mettent à disposition des applications soit disant sécurisé, et j'ai beau ne pas être un expert en sécurité web, je me suis rendu compte qu'il y avait certaine boite de grande marque qui proposait des systèmes d'authentifications ou d'api qui étaient encore moins sécurisé que ce que tu viens d'écrire c'est te dire ! lol (exemple FiaNet j'ai refusé de bossé chez eux car ils avaient un code archaïque et sont soit disant spécialisé dans les traitements d'échanges sécurisé je tiens à préciser. ça fait peur).
Où tu choisis de créer un système effectivement basé sur Oauth2 en fait, où il faut créer un module qui générera un clé et un token, mais concrètement il n'y a pas forcément le besoin lorsque son application n'est pas reconnu, c'est valable je trouve pour des sites et application comme google, twitter, facebook etc... mais pour d'autres il faut entrevoir une autre façon de faire.
Tu peux tout à fait enregistrer la clé d'authentification en base de donnée, on dit que cela est moins sécurisé dans le cas où un hacker arrivait à avoir accès à la base de donnée, mais si tu cryptes la clé d'authentification avec un algorithme puissant (FuelPHP le fait très bien comme laravel avec les blowfish and co) + ton token personnel, ta clé d'authentification sera de toute manière crypté en base de donnée.
Après est ce que c'est plus lent dans les requêtes, non pas forcément, c'est plus rapide si tu préfères qu'une gestion d'ACL en terme de requête, car par exemple pour des acl à chaque page, requête ou action on doit vérifier tous les droits dans le cas d'une grosse application trouvant la justification de plusieurs acl différents.
Je m'étais aussi posé cette question au départ, mais c'est relativement rapide, puisque l'on effectue une seul requête de vérification à chaque fois.