De tweede manier waarop het correct is (kan worden verbeterd door ze beide parallel te laten lopen), denk ik dat het probleem ergens anders zit. Ik weet niet welk framework je gebruikt, maar ik denk dat het veld _id is van mongoDB en is een ObjectId en het lijkt erop dat de decoded.id een objectId kan zijn, terwijl degene die uit het verzoek komt natuurlijk slechts een string is. Dus ik denk dat het leeg is omdat het geen enkele gebruiker met die string vindt.
Probeer er een objectId van te maken van die string (verwijzend naar req.params.user_id in de tweede zoekopdracht)