Nie powinieneś sam dodawać cudzysłowów wokół ?
symbol zastępczy. Usuń je.
Powinieneś także przekazać tablicę, a nie ciąg. Zakładając, że jest to czysty ciąg, możesz po prostu użyć split
.
connection.query(
"delete from userFiles where type = 1 and typeId = " + taskId +
" and fileName NOT IN (?) ", [oldFileNames.split(/,\s*/)],
function (err, rows) {