Вторият начин е правилен (може да се подобри, като се изпълняват и двата паралелно) Предполагам, че проблемът е на друго място. Не знам коя рамка използвате, но предполагам полето _id е от mongoDB и е ObjectId и изглежда, че decoded.id може да бъде objectId, докато този, който идва от заявката, разбира се, е само низ. Така че предполагам, че е празен, защото не намира потребител с този низ.
Опитайте да го направите objectId от този низ (препращайки към req.params.user_id във втората заявка)
