vu que tu as l'air d'apprécier le principe "base de données", sans vouloir faire appel à un serveur pour ça, pourquoi ne pas utiliser une DB sqlite ?
ça stocke la DB dans un seul fichier, et il y a ce qu'il faut en PHP 5 pour les manipuler ; et ça fait du SQL "standard"
(par exemple, firefox stocke, depuis la v3 il me semble, une partie de tes préférences et autres dans une DB sqlite)

sinon :

Nil (./1) :
Est-ce que PHP sait écrire et modifier un document XML existant aussi simplement qu'une base de données ?

en PHP 5, tu as les classes DOM* (DOMDocument, DOMElement, ...) => relativement facile, si tu sais un peu comment fonctionne DOM
si tu sais comment marche DOM, comptes en gros une demi-journée pour t'y mettre en PHP

Nil (./1) :
Un fichier CSV ? C'est pas spécialement adapté, mais bon, au pire...

moué, bof ^^
(pense aux fonctions fgetcsv et consœurs ^^ )

Nil (./1) :
Est-ce que PHP sait gérer un format de base de données fichier nativement, sans avoir besoin d'outil supplémentaire sur le serveur ?

Ah ben j'avais lu trop vite : SQLite est exactement ce que tu recherches, à ce niveau.

sécurité > dans les trois cas, tu as un fichier sur le disque => les trois se valent : à toi de te débrouiller