Cara kedua itu benar (bisa ditingkatkan menjalankan keduanya secara paralel) Saya kira masalahnya ada di tempat lain. Saya tidak tahu kerangka kerja mana yang Anda gunakan tetapi saya kira bidang _id berasal dari mongoDB dan merupakan ObjectId dan sepertinya decode.id itu bisa berupa objectId sedangkan yang berasal dari request tentu saja hanya berupa string. Jadi saya kira itu kosong karena tidak menemukan pengguna dengan string itu.
Coba buat objectId dari string itu (merujuk ke req.params.user_id dalam kueri kedua)
