user._id instead of user.id