Как параметры клиентского HTTP-запроса используются для формирования запроса через Sequelize-модель и получения данных из базы?

Параметры HTTP сначала валидируют и преобразуют в разрешённые options ORM: where, limit, offset, order и выбранные поля.

Нельзя напрямую передавать весь query/body в Sequelize. Ограничьте поля фильтрации и сортировки, диапазон limit и доступ пользователя к данным. Значения передавайте через безопасный API ORM, не склеивая raw SQL. После выполнения запроса сформируйте DTO, исключающий внутренние и чувствительные поля.