Можно и текстовый файл, и БД. Просто добавляешь к нему подпись - хэш, вычисленный от его содержимого, даты изменения, какие там еще данные доступны. Обязательно что-нибудь индивидуальное для юзера. И если определяешь, что хэш не сошелся - значит, файл отредактирован, и посылаешь пользователя в пень с этим файлом.
Сначала, правда, стоит оценить собственные потери от того, что из-за каких-либо непредвиденных обстоятельств хэш не будет сходиться у лояльных, ничего не редактировавших пользователей.