La segunda forma es correcta (podría mejorarse ejecutando ambos en paralelo) Supongo que el problema está en otro lugar. No sé qué marco está utilizando, pero supongo que el campo _id es de mongoDB y es un ObjectId y parece que decoded.id puede ser un objectId mientras que el que proviene de la solicitud es, por supuesto, solo una cadena. Así que supongo que está vacío porque no encuentra ningún usuario con esa cadena.
Intente convertirlo en un objectId de esa cadena (refiriéndose a req.params.user_id en la segunda consulta)
