函数和触发器允许用户把代码插入到后端服务器中，而其他用户可能会无意间执行这些代码。因此这两种机制都使得用户能比较容易地以“特洛伊木马”的方式坑害他人。唯一真正的保护是严格控制谁可以定义函数。

函数在后端服务器进程中运行，并具有数据库服务器守护进程的操作系统权限。如果函数所用的编程语言允许不受检查的内存访问，就有可能更改服务器的内部数据结构。因此，这类函数可以做很多别的事情，其中就包括绕过任何系统访问控制。允许这种访问的函数语言被认为是“不受信任的”，而PostgreSQL只允许超级用户创建用这类语言编写的函数。