Barrapunto

te diría que guardaras los archivos en disco e incluso en una partición/disco diferente al de sistema. La montas en algún lado y le das permisos solo al usuario de la aplicación. En la BBDD metes la ruta, los datos que necesites (remitente, fecha, hora, etc) y el md5 del archivo para evitar corrupciones/ataques. Al tenerlo en una partición aparte un atacante te podría colapsar la aplicación pero no el sistema entero. Adicionalmente, si lo ves oportuno, dale al usuario de la aplicación una quota que sea el tamaño de la partición menos cierto margen. Espero que te ayude!