La deuxième façon est correcte (pourrait être améliorée en les exécutant en parallèle), je suppose que le problème est ailleurs. Je ne sais pas quel framework vous utilisez mais je suppose que le champ _id vient de mongoDB et est un ObjectId et ressemble à ce que le décodé.id peut être un objectId alors que celui qui provient de la requête n'est bien sûr qu'une chaîne. Donc je suppose qu'il est vide car il ne trouve aucun utilisateur avec cette chaîne.
Essayez d'en faire un objectId à partir de cette chaîne (en référence à req.params.user_id dans la seconde requête)
