Wenn du nicht jedes Mal ein DELETE machen willst kannst du das ja z.B. zufällig bei jedem Request mit einer Wahrscheinlichkeit von 0.1 machen.

Letztendlich würde ich das ganze in der Datenbank zu lassen, weil du irgendwann vielleicht mal Joins über Session und Userdaten machen willst.

Ausserdem kann die Datenbank den Index gut genug verwalten.

Aber wieso verwaltest du deine Sessions per Hand? Dafür gibts doch CGI::Session, das auch Datenbanken als Backend verwenden kann.