Не трябва сами да добавяте кавички около ?
заместител. Премахнете ги.
Трябва също да предавате масив, а не низ. Ако приемем, че това е чист низ, можете просто да използвате split
.
connection.query(
"delete from userFiles where type = 1 and typeId = " + taskId +
" and fileName NOT IN (?) ", [oldFileNames.split(/,\s*/)],
function (err, rows) {