Wenn du Kontrolle über die Datenbank hast, könntest du ein weniger priviligerten DB-Benutzer anlegen, mit diesem Benutzer eine zweite Verbindung aufbauen und an Plugins nur die unprivligierte Verbindung weitergeben.

Die Datenbank hat ja schon eine Zugriffskontrolle, es wäre Unfug das noch mal von Hand im Application Space nachzubauen.