Anda tidak seharusnya menambahkan tanda kutip sendiri di sekitar ? pengganti. Hapus mereka.
Anda juga harus melewatkan array, bukan string. Dengan asumsi itu adalah string yang bersih, Anda bisa menggunakan split .
connection.query(
"delete from userFiles where type = 1 and typeId = " + taskId +
" and fileName NOT IN (?) ", [oldFileNames.split(/,\s*/)],
function (err, rows) {
