Начните с прочтения
https://jwt.io/
Когда вы поймете что такое jwt, у вас отпаадет вопрос: это должно быть много разных токенов для 1 пользователя, или 1 но продлевать.
По сути вы почти всё делаете правильно, но вот это:
через _id(уникальный) пользователя записал в базу и он по сути вечный,
Самый простой способ обратитесь к :
https://github.com/auth0/node-jsonwebtoken