Ну а почему только PHP или Java? Можно взять Hack как компромисс: сочетает в себе плюсы php и привносит в него строгость java.
Ну а если серьезно... в плане безопасности разницы особо нету. В плане производительности java быстрее, но есть не нулевая вероятность что разницы особо вы не почувствуете. В плане поиска рабочей силы... Java имеет свое преимущество, ибо шансы найти разработчика который пишет ногами чуть ниже чем в случае с PHP. И последний жирный плюс в сторону Java и против PHP - инструменты разработки, библиотеки и фреймворки и хорошая культура разработки среди джавистов. В PHP все это только зарождается. Некоторых инструментов нету, некоторые пока сырые или кривые... В основном это относится к тестированию кода. Но ситуация с каждым днем улучшается.
Но вернемся к нашим баранам. Что мы имеем из задания:
1000 пользователей, пускай и активных, выдержит нормально написанный сайт что на php что на java. Это не хай-лоад.
безопасность - зависит от настроек сервера. в плане PHP - при использовании PDO, prepared statements и/или нормальной ORM которая в свою очередь все это внутри использует, вероятность sql инъекций равна нулю. При использовании шаблонизаторов типа Twig вероятность XSS стремится к нулю (зависит от опыта разработчика, но экранирование вывода по умолчанию снижает вероятность ошибки). Для генерирования репортов: проще будет взять node.js, phantom.js и репорты генерить в этом добре, связав с основным приложением через какой rabbitmq/zeromq/Resque. Явно будет эффективнее и круче.
