Podes usar dessa maneira com o mysql
(link). A ideia é como mostras no código, usar marcadores ?
na query e depois passar uma array com as posições cujo valor deve ser usado em vez do marcador.
Segundo o exemplo da documentação:
connection.query('UPDATE users SET foo=?, bar=?, baz=? WHERE id=?', ['a', 'b', 'c', userId], (error, results, fields) => {
if (error) throw error;
// ...
});