API или Прямое подключение ?

API. Доступен только тот функционал, который заложил автор. Проблемы безопасности автор решает также сам, в том числе и "корявые" api-запросы, и уровень доступа для пользователей. Вес приложения использующее API, по логике меньше, т.к. драйвер СУБД может требовать установленного клиента самой СУБД. Возможность использовать кэш вэб-сервера, если подразумевается подобная архитектура.

СУБД Доступ происходит напрямую в СУБД, следовательно, в приложении "где-то" лежит реквизиты доступа, со всеми из этого вытекающими последствиями. Даже если выданы привилегии пользователям только(!) SELECT, ни что не мешает "ободрать" контент ресурса, а пара умышленных тяжелых запросов подвесит вашу СУБД на продолжительное время. Как говорилось выше,приложение под Android может затребовать драйвер СУБД, которого просто может не существовать, как и клиента.