Напрямую подставлять данные нельзя, это может вызывать
sql injectionВ документации (
node-mysql,
node-mysql2) есть пример, который показывает как подставлять параметры. В вашем случае это будет выглядить так:
// отдельная переменная для читабельность
const sql = "UPDATE `raund_table` SET `round`= ?, `activ`= ?, `time_in`= ?, `time_out`=2, `action_room`=1 WHERE `room`=1000";
const params = [val.raund, val.act, timeUNIX()];
connection.query(sql, params,
function(err, results) {
if (err) reject(err);
resolve(results);
});
connection.end();
})
Так же я обратил внимания, что вы используете промисы, но оборачиваете функцию самостоятельно. Если использовать node-mysql2, то это делается значительно проще и красивее:
const sql = "UPDATE `raund_table` SET `round`= ?, `activ`= ?, `time_in`= ?, `time_out`=2, `action_room`=1 WHERE `room`=1000";
const params = [val.raund, val.act, timeUNIX()];
const [rows,fields] = await connection.query(sql, params);