nodejs - 如何仅向用户提供对其内容的访问权限

Question

你好，我是这样的电路板架构

name: {
    type: String,
    required: 'Please check your name',
    trim: true,
  },
  userId: {
    type: Schema.Types.ObjectId,
    required: 'no user specified'
  },
  private: {
    type: Boolean,
    default: true,
  },
  cards: [{ type: Schema.Types.ObjectId, ref: 'Card' }],

和像这样的卡架构

name: {
    type: String,
    required: 'Please check your name',
    trim: true,
  },
  position: {
    type: Number,
  },
  color: {
    type: String,
  },
  boardId: {
    type: Schema.Types.ObjectId,
    required: 'Pleaae specify board id',
  },

我写了这个函数，确保用户只能获得他的电路板

exports.gettingBoards = async function gettingBoards(req, res) {
  const user = req.user;
  const board = await Board.find({ userId: user.id });
  res.json(board);
};

我不知道如果它是最好的方式但它有效，我现在的问题是我想把它变成卡片，但是卡片上没有userId，它＆＃ 39;在他们的父母董事会，所以我该怎么做，以确保没有用户可以获得卡，直到他的卡？