update users controller, add TODOs