Comment protéger le champ de mot de passe dans Mongoose/MongoDB afin qu'il ne revienne pas dans une requête lorsque je remplis des collections ?

Vous pouvez modifier le comportement par défaut au niveau de la définition du schéma à l'aide de select attribut du champ :

password: { type: String, select: false }

Ensuite, vous pouvez l'extraire au besoin dans find et populate appels via la sélection de champ comme '+password' . Par exemple :

Users.findOne({_id: id}).select('+password').exec(...);