Isso não funciona:
SELECT foo FROM bar ORDER BY 'baz';
Isso funciona:
SELECT foo FROM bar ORDER BY baz;
Você tentou remover as aspas que
connection.escape adiciona? Tente usar isso:
function escapeSansQuotes(connection, criterion) {
return connection.escape(criterion).match(/^'(\w+)'$/)[1];
}
então use
escapeSansQuotes(connection, order) em vez de connection.escape(order) . 
