在Mongo数据库中控制/限制用户特定的内容

我想知道如何控制/限制不同用户对其存储在mongodb中的内容的访问（通过mongoose访问）。假设有一个数据模型可以存储用户的遗嘱。

我的方法是：

1. 登录：通过用户名和密码进行身份验证，将用户名存储在会话中。
2. 中间件：检查登录状态，在用户模型中查询存储的用户名并返回用户ID，将其附加到req-object（req.userId）
3. 敲定路线以获取实际内容时（最后一个遗嘱模型）：使用两个条件查询遗嘱模型：匹配的willId和匹配的userId（也存储在will-model中）

这在某种程度上是合理的，甚至可以节省吗？找不到最佳实践，所有示例基本上都以身份验证结尾。