Ответ

moko 04.11 14:46

1. Есть возможность запретить выполнение нескольких запросов в одном вызове :sql из любого объекта?

Нет. У MySQL есть multi_statements=0 в строке подключения, в PostgreSQL такого механизма нет. Теоретически можно сделать аналогичную парсерную опцию, но в любом случае это не защита от SQL инъекций.

2. В чем принципиальное отличие ^taint[data] от ^taint[sql][data] при использовании в запросах?

Никакого отличия.

3. https://www.parser.ru/forum/?id=84788 - в доке ничего нет про WithoutDefaultTransaction.

Да, документация немного хромает в этом месте, подправим. Там еще не написано про то, что с 3.5.0 можно указывать любые опции, который поддерживаются в строке параметров подключения к серверу PostgreSQL.

---