Вставка нескольких записей в mySQL с NodeJS, предотвращающая внедрение и получение идентификатора каждой записи

У меня есть запрос ajax, который добавляет одну или несколько записей в таблицу (следующий код на стороне сервера):

app.post('/saveLesson',function(req, res) {

    let sections = JSON.parse(req.body.sections);

    let sql = 'INSERT INTO sections (title, content, duration) VALUES ';

    for (let i = 0; i < sections.length; i++) {

        if (i == sections.length-1) {
            sql += '("' + sections[i].title + '","' + sections[i].content + '","' + sections[i].duration + '");';
        } else {
            sql += '("' + sections[i].title + '","' + sections[i].content + '","' + sections[i].duration + '"),';
        }
    }
    connection.query(sql, 
        function (error, result) {
            if (error) throw error;
    });

});

Я хочу предотвратить внедрение SQL, но не знаю, как это сделать для нескольких записей.

Обычно я знаю, что мне придется построить свой оператор sql следующим образом:

connection.query("SELECT * FROM bank_accounts WHERE dob = ? AND bank_account = ?",
    [
     req.body.dob,
     req.body.account_number
    ],
    function(error, results) { 

    }
);

Но я не уверен, как добиться этого с несколькими записями (не зная, сколько их). Является ли параметр .query обычным массивом?

Кроме того, мне нужно где-то хранить созданные идентификаторы и отправлять их обратно на страницу клиента. Как я могу этого добиться? Спасибо.

***************************** ОБНОВИТЬ ******************** **********

Хотя кто-то опубликовал решение, я подумал, что это может быть полезно. С помощью следующего кода вы можете добавить несколько записей, предотвращающих инъекции SQL.

app.post('/saveLesson',function(req, res) {

    let sections = JSON.parse(req.body.sections);

    console.info(sections);

    let sql = 'INSERT INTO sections (title, duration, content) VALUES ';

    // I make a new array to pass the list of values to the query
    let sectionsParamList = [];

    for (let i = 0; i < sections.length; i++) {

        if (i == sections.length-1) {
            sql += '(?,?,?);';
        } else {
            sql += '(?,?,?),';
        }

        sectionsParamList.push(sections[i].title);
        sectionsParamList.push(sections[i].duration);
        sectionsParamList.push(sections[i].content);
    }

    connection.query(sql, sectionsParamList,
        function (error, result) {
            if (error) throw error;
    });

});