关于mysql的问题

我想要根据传进来的数据，适应性的更改数据库的内容,代码像这样：

//db.column 表示 表的数据类型的数组，
 ['id',
 'account',
 'name',
 'password',
 'eyesight']
//函数是这样的，data表示传进来的对象，只带有需要修改的属性
 change:(data)->
  sql = "UPDATE users "
  for type in db.column when type in data
   sql+="set #{type} = #{data[type]} "
  sql+="where id = #{data.id}"
  client.query sql,cb(err,result)

但是在 when type in data 这里不知道应该写成什么样子。 还想问一下，在node-mysql里面，Escaping query values和Escaping query identifiers 有什么区别，好像是防注入的，但是不知道区别在哪。