Vlákno názorů k článku Zranitelnosti typu injekce: SQL injekce od JCC - Je 'Prepared Statement' to iste ako 'Stored Procedure'?

Jenže to pokud vím není čisté SQL, to je rozšíření. Ale dobře, dá se to brát tak, že uložené procedury je možné psát i přímo v SQL.

Ne, kód procedury je naprosto to samé "čisté" SQL, ve kterém se v PostgreSQL píše "přímo".
Není to žádné "rozšíření" postgresího SQL jazyka alá PL/pgSQL - teda kromě placeholderů za parametry, což je ale právě to, co to dělá hodně příbuzné k prepared statements.

Jo, striktně ve standardu SQL to není, ale ve standardu SQL není co vím specifikován jazyk uložených procedur vůbec, ani žádný ze SQL dialektů v libovolné databázi neodpovídá žádnému SQL standardu, takže v tomto ohledu by bylo rozšíření SQL vše. Naopak postgresí SQL je z množství SQL dialektů jeden z těch, co se standardu drží co možná nejvíce.

Kód procedury (implementace) je ale něco jiného, než celá procedura. Ale asi si rozumíme, celá uložená procedura není čisté SQL, zatímco výkonný kód uložené procedury už čisté SQL být může.

Definice uložených procedur JE součástí SQL standardu, konkrétně featura T-321 SQL 1999, a to dokonce přímo "Core SQL"....

Takže ano, rozumím Ti . Snažíš se svoje předchozí vyjádření překroutit, abys nemusel uznat omyl
- ale - protože evidentně toho o SQL procedurách zas tolik nevíš - tak do toho jen víc zbředáváš :-)

PS: Sorry za sarkastický tón, ale naběh sis...

Když chcete být puntičkář, měl byste být důsledný a netvářit se, že kód (implementace) procedury, celá procedura a definice procedur ve standardu je jedno a to samé. Jinak se klidně můžeme dohadovat, zda

CREATE PROCEDURE select_data()
LANGUAGE SQL
AS $$
SELECT * FROM tbl;
$$;

je SQL dle standardu, ale dohadujte se beze mne.

Snažíš, se vybruslit, snažíš..... Až na to, že původně jsme se bavili o SQL a ty jsi tvrdil, že se v SQL vůbec procedury nepíšou, následně pak že SQL procedury je nějaké rozšíření. Co tvrdíš vlastně teď jsem z Tvého postu odhalit nedokázal, evidentně jsi se poučil a radši nepíšeš nic konkrétního, aby Ti to zas nebylo vyvráceno.

Pravda, že zrovna zápis SQL procedur v Postgresu není 100% konformní se SQL standardem, ale to není v podstatě žádný SQL dialekt: To bys pak musel tvrdit, že se v reálu nikde nepíše v SQL, protože každá implementace SQL má nějaké nestandardnosti.
Prostě postgresql je dialekt SQL a SQL funkce do něj naprosto inherentně patří, stejně jako patří do standardu SQL, takže Tvé (implicitní) tvrzení, že se v SQL nepíšou uložené procedury bylo blbina, stejně jako byla nepravda, že je to nějaké rozšíření SQL.

A to, že místo uznání, jo, to jsem nevěděl, sorry, se z toho snažíš takhle slovíčkařením vybrušovat, když už jsi do toho zabrušoval.... To je tvoje vizitka, ne moje.

Už to chápu, vy jenom špatně čtete. Já jsem nepsal, že se v SQL vůbec procedury nepíšou, napsal jsem, že se nepíšou v (čistém) SQL, ale mohou být v jazyce podobném SQL. Například jazyk, který vezme z SQL některé konstrukce (a jiné zakáže), je jazyk podobný SQL. Ale uznávám, že se to dá nazvat i tak, že je to SQL, akorát si prostě použití v uložených procedurách vyžádá nějaká omezení. Že „SQL procedury je nějaké rozšíření“ jsem také nepsal. Příklad kódu mi připadá dost konkrétní. Howgh.

Standard SQL, dokonce i v nejužší "core standard" definuje SQL funkce, které nazývá SQL funkce. Takže podle Tebe standard SQL definuje jazyk podobný SQL a mylně ho nazývá SQL? Nebo jak to mám chápat?

Tvůj názor je podobně "divnej", jako kdybys tvrdil, že funkce v Cčku nejsou napsané v Cčku, protože uvnitř funkcí Cčka nemůžeš použít veškeré konstrukce Cčka.....

Tady máš odkaz na gramatiku SQL 1999, kde jsou SQL uložené procedury definované:
https://ronsavage.github.io/SQL/sql-99.bnf.html

Tohle je hodně specifická záležitost postgresu a používá se to pro one-line funkce - jako makrojazyk.