[Kolyaj]

к примеру для php есть Безопасный режим

NodeJS не предназначен для shared хостингов.

полно функций типа mysql_real_escape_string()

Это уже вопросы к модулям для работы с базами данных, а не к NodeJS. В MongoDB, например, никакая инъекция невозможна в принципе.

htmlspecialchars()

А это вопросы к шаблонизатору, а не к NodeJS.

LIB = require('./lib/lib.js');

Расширение .js писать не надо. Все переменные внутри модуля остаются внутри него. Публичные свойства вытаскиваются присваиванием объекту export.

Есть ещё объект global, он один и тот же во всех файлах. Но мне, например, он ещё ни разу не пригодился.