Стал вопрос о безопасности в PostgreSQL. Поведаю подробнее.

Есть функция,созданная от привилегированного пользователя:

CREATE OR REPLACE FUNCTION counts(text)
  RETURNS integer AS
$BODY$
DECLARE sql varchar;
DECLARE c integer;
BEGIN  
   sql:='select count(id) from table1 where ' || $1 || ' ';
       EXECUTE sql INTO c;
   RETURN c;
END;
$BODY$
  LANGUAGE 'plpgsql' VOLATILE SECURITY DEFINER
  COST 100;
GRANT EXECUTE ON FUNCTION counts(text) TO exec_user;

И есть таблица foo (не важно, что в ней).
Если выполнить запрос от непривилигированного пользователя exec_user таким образом:
SELECT counts('1=1; DROP TABLE foo;SELECT id FROM table1;');

, то таблица foo - дропается  Это понятно, потому, что SECURITY DEFINER. А права на удаление у привилегированого пользователя - есть.

Вопрос. Как организовать безопасное выполнение функций и только функций на своем сервере?
Я много рылся, но не нашел подробное описание IMMUTABLE/STABLE /VOLATILE
Лишь, в официальном мануале про них написано 2 строки про то, что IMMUTABLE/STABLE выполняются в режиме чтения а VOLATILE в режиме чтения-записи.

и SECURITY DEFINER, есть еще какие-то варианты SECURITY вроде, но опять же, не нашел где про них почитать.

В итоге задача. Сделать так, что бы непривилегированный пользователь мог только выполнять функции, но не мог выполнять обычные запросы select,insert,delete,drop и так далее.

У меня есть единственное решение (наверно в связи с малым опытом) - это сделать еще одного пользователя. дать ему - минимальные права, переназначить OWNER'а всех функций на этого пользователя. И тогда даже при sql-инжекте он, вроде, ничего лишнего не сделает... но все же.. Может есть более грамотное решение?

P.S. Функция, которую я привел, может и не очень грамотная, т.е., не секьюрно передавать целую WHERE в функцию, но, иногда нужно собрать строку в теле функции используя различные входные параметры и sql - инжект, там тоже актуален..