Сергей Мелодин

Точно по причинам не скажу, но так не делают:

const promisemovies = movies.map(async movie => getPostUrl(movie));
const moviesPostersUrl = await Promise.all(promisemovies);

потому что map по умолчанию не поддерживает асинхронность

Вполне возможно, что оттуда растут ноги проблемы. Собственно, нужно просто вернуть массив запросов:

const moviesPostersUrl = await Promise.all(movies.map(movie => getPostUrl(movie)));

В целом, коду требуется рефакторинг, ибо смешалось всё - вёрстка, логика, кони, люди. Проблема с поиском проблемы идёт отсюда.

Разве боты ВК умеют перехватывать значения из адресной строки? Я с их апи не знаком, но полагаю, что можно пойти проще - пусть приглашающий напишет боту ссылку на страницу друга. После этого, когда боту написал его друг, он запрашивает "Вас пригласил Вася Пупкин?" и тот соглашается или отклоняет.

Или от обратного, если мотивирован больше приглашённый, то спрашивать с него ссылку на того кто его пригласил, обещать ништяки и, если совпадения по БД найдены, то выдать подарочное "спасибо".

Можно использовать moment, как упомянул автор ответа выше, но там тоже не всё гладко. Вот здесь можно посмотреть пример использования: https://repl.it/@Melodyn/momentJS

В целом же, работа со смещением по UTC в Moment не сильно отличается от того же в Date. Просто используйте дату в формате ISO и дописывайте хвост:

new Date('2019-09-24T12:00:00+0000') // время по UTC
new Date('2019-09-24T12:00:00+0300') // время по Москве
new Date('2019-09-24T12:00:00+0300') // время по Москве
new Date('2019-09-24T12:00:00+0600') // время по вашем региону

Скорее всего, OAUTH прикрутить чтобы доступ был только для зарегистрированных приложений.

Поставьте на самом верхнем уровне try catch и пару console.log-ов раскидать на разных шагах с полученными результатами вычислений и поясняющим текстом. Примерно так:

try {
  const result = do(); // какая-то "бизнес"-логика
  console.info('Запрос успешно выполнился с результатом: ', result);
  return result;
} catch (err) {
  console.error('Запрос упал со следующей ошибкой: ', err);
  return 'Захват человечества остановлен'
}

Можно сделать некий ключ и передавать его гет-параметром, соответственно, показывать страницу только тем, кто перешёл по ссылке с ключом. Почти логин-пароль, но простенько )

Я, может быть, опишу неправильно принцип работы, но визуализировать себе его можно так: Код выполняется слоями. Сначала идёт просмотр и выполнение первого слоя (в том числе инициализация функций и глобальных переменных), затем второй слой, это как раз callback-функция, которая находится в query. Соответственно, переменной result присваивается значение только на втором проходе, поэтому получаешь null.

Следовательно, всё, что находится внутри callback, там же и обрабатывается. Есть альтернатива в виде промис, но тут уж вопрос в поставленных задачах и полученных навыках.