Pensavo che così facendo il DB fosse comunque al sicuro.

Se tu proponi di mettere Entity Framework Core sull'app mobile, vuol dire che ti vuoi collegare al database remoto che contiene tutti gli utenti. Di conseguenza, stai proponendo di esporre il tuo database su internet ma, così facendo, distribuisci la connection string a tutti i dispositivi mobile. Quindi c'è la probabilità che, prima o poi, qualcuno riuscirà a carpire tale connection string dal dispositivo e quindi avrà accesso a tutte le tabelle del database in maniera indiscriminata. Se l'account ha anche privilegi di eliminazione, c'è il serio rischio che qualcuno ti svuoti il database, dopo essersi rubato le informazioni degli utenti.

in alternativa potrei creare un progetto web MVC e creare servizi WCF con cui far parlare l'applicazione
che ne dici? o in che altro modo potrei fare?

Dico che dovresti contattare un consulente che si metta lì con calma a valutare la situazione e ti possa consigliare sul da farsi, considerando i tempi che hai a disposizione. Non è un qualcosa che si può fare via forum, anche perché prima dici di voler includere un sito MVC in una WebView e adesso vuoi fare richieste da Xamarin ai servizi WCF.

Il modo corretto di sviluppare un'applicazione mobile con Xamarin è realizzare la UI nativa (con Xamarin.Android o Xamarin.Forms) e poi invocare una Web API fatta con ASP.NET (Core). Le altre soluzioni sono sub-standard e io non posso consigliarti cose che porteranno al fallimento del progetto.

Oppure fai una PWA o usi Cordova.

---

Modificato da BrightSoul il 16 dicembre 2018 17.09 -