enhanced .findByIdForUser