_updateUser : security