Wie kann ich das Passwortfeld in Mongoose/MongoDB schützen, damit es nicht in einer Abfrage zurückgegeben wird, wenn ich Sammlungen fülle?

Sie können das Standardverhalten auf Schemadefinitionsebene mit select ändern Attribut des Feldes:

password: { type: String, select: false }

Dann können Sie es nach Bedarf in find ziehen und populate Aufrufe über Feldauswahl als '+password' . Zum Beispiel:

Users.findOne({_id: id}).select('+password').exec(...);