Pokud používáte node-mysql, udělejte to tak, jak říkají dokumenty:
connection.query(
'SELECT * FROM table WHERE id=? LIMIT ?, 5',[ user_id, start ],
function (err, results) {
}
);
Dokumenty také obsahují kód pro správné escapování řetězců, ale použití pole ve volání dotazu automaticky escapování provede za vás.
https://github.com/felixge/node-mysql