Creo que la forma más segura y escalable es ofrecer una API de servicios en un servidor y sea este último que se conecte a la base de datos. - Más segura porque no es recomendable dejar el puerto a la base de datos abierto. - Más escalable porque en un servidor contarás con más recursos para resolver las solicitudes de los clientes de la API. También podrás consumir la API desde otro tipo de cliente como por ejemplo, un sitio web. Actualmente estoy en el desarrollo de una aplicación que se conecta a una base de datos MySQL y desde Android utilizo **retrofit2** para consumir la API y el servidor lo estamos desarrollando con **nodejs** utilizando el modulo **node-mysql**. Espero que te sirva la respuesta.