ちなみに3系では <%=h の「h」はいらない
デフォルトでエスケープされる

mysqlのライブラリがおかしいとかじゃないのか？
ちゃんとmysql2使ってる？