O node-mysql library executa automaticamente o escape quando usado como você já está fazendo. Veja https://github.com/felixge/node-mysql#escaping- valores de consulta