user._id not user.id