只读SQL护栏不能替代数据库只读角色，两者应同时使用；护栏在应用层阻止查询到达数据库并给出错误码，数据库角色在护栏失效时兜底。