クエリに文字列の連結を使用しないでください。プリペアドステートメントと呼ばれるメカニズムがすでにあります。
のような署名です。.query('SELECT * FROM `books` WHERE `author` = ?', ['David'])
入力をサニタイズし、SQLインジェクション攻撃を部分的に防止し、入力値の検証も常に行います。また、typeormのようなORMを使用したくない場合 、Sequelize 、knex.jsを使用できます クエリ文字列を作成し、データベースの相互作用を完全に管理することしかできません