teraz nie odróżnisz braku usera od user który jest ale ma puste dane.

Proponuje rzucić wyjątkiem 400 HTTPBadRequest